Хакеры Binance вернулись к отмыванию через THORChain: перемещено 81% украденных SOL

Сеть THORChain, остановленная 31 октября из-за технического сбоя, 4 ноября возобновила обмены на большинстве блокчейнов, и почти сразу аналитики зафиксировали новую волну вывода средств, похищенных при взломе Binance на $6,3 млрд. По данным Arkham, злоумышленники уже переместили около 81% украденных монет Solana. Из 970 522 SOL на кошельках, связанных с хакером, остаётся 182 443 SOL, примерно $16,9 млн.

Главная особенность схемы в том, что деньги уходят из активов, которые можно заморозить, в активы, где такой возможности нет. USDT и USDC блокируются эмитентами, а у биткоина и эфира такого центра управления нет.

Как устроен маршрут

Сервис Lookonchain описал цепочку, которую использовали в среду:

• украденные SOL дробятся по множеству кошельков;
• монеты продаются за стейблкоин USDC;
• USDC переводится в сеть Ethereum, где на него покупается эфир;
• эфир обменивается на биткоин через THORChain.

Этой волне предшествовал вывод через Tron. Аналитик SomaXBT в разборе от 1 ноября оценил, что через THORChain прошло около $48,3 млн, а на выходе получено $42,7 млн: примерно 12% ушло на комиссии и проскальзывание. Он насчитал 2697 депозитов. По его же оценке, около 54% из более чем 47 600 транзакций злоумышленников в сетях Tron и Solana были автоматическими. В Elliptic также обратили внимание на признаки автоматизации: повторяющиеся суммы, кошелёк в Tron, рассылавший средства каждый час в течение суток с лишним, и пересылку дальше обычно в пределах двух минут. Chainalysis оценивает общий объём, прошедший через Tron, примерно в $500 млн. Это оценки разных компаний с разным охватом, поэтому складывать их нельзя, а итоговая сумма конвертированного в биткоин пока неизвестна.

Почему THORChain снова в центре внимания

THORChain остановил торги после реорганизации блоков в Ethereum, которая вскрыла ошибку в механизме возвратов: сеть выплатила 10 ETH, которых хранилище не получало. В Chainalysis отмечают, что пауза задержала отмывание. Токен сети RUNE после перезапуска подорожал примерно на 10%, до $0,637.

Вопрос о роли протокола не новый. После взлома Bybit в 2025 году THORChain установил недельный рекорд по объёму обменов, $4,66 млрд за неделю до 2 марта. В сентябре он отклонил просьбу Bitget заблокировать адреса, связанные со взломом на $388 млн, объяснив, что аварийные механизмы останавливают работу шире, а не замораживают отдельные обмены. В уведомлении от 31 октября ФБР приписало атаку на Binance северокорейской группировке TraderTraitor и попросило операторов узлов THORChain, DeFi-сервисы и другие криптокомпании блокировать операции с её адресами и средствами, полученными с них. Как на это ответил THORChain, в материале CoinDesk не сообщается. В КНДР причастность к взлому отрицают.

Что будет дальше

По данным Elliptic, в наличные пока выведена лишь ничтожная часть похищенного. Компания ожидает, что злоумышленники продолжат небольшими порциями менять эфир на биткоин, а затем в течение месяцев будут пытаться обналичить средства через внебиржевых брокеров.

Заморозка при этом остаётся самым заметным ответом отрасли. Binance сообщила, что заблокировано около $2,85 млрд и что около 98% затронутых токенов она восполнила собственными средствами. CoinDesk также приводит цифру более $3 млрд, замороженных эмитентами стейблкоинов; как соотносятся эти оценки, издание не уточняет. Судьба оставшейся части зависит от того, удастся ли отследить её на этапе обналичивания.