Скоординированные действия с участием эмитентов стейблкоинов, правоохранительных органов США, компаний по анализу блокчейна, сетей и торговых платформ позволили заморозить или изъять криптоактивы на сумму примерно от 2,8 до 3 млрд долларов, связанные с предположительно украденными у Binance 6,3 млрд долларов, в течение нескольких дней после атаки, сообщили Chainalysis и Elliptic.
Меры были сосредоточены на стейблкоинах, эмитенты которых могут вносить адреса в черный список и останавливать переводы. Tether заморозил более 1,567 млрд USDT, а Circle заблокировала около 823 млн долларов в USDC, выведя более 2,3 млрд долларов украденных стейблкоинов из-под доступа атакующего. По словам Elliptic, подтвержденная ею сумма замороженных или изъятых средств достигла около 2,85 млрд долларов при оценке общих потерь в 6,43 млрд долларов.
Масштаб вмешательства отражает то, что усилия по возврату средств все больше зависят от быстрой координации в публичных блокчейнах, а не от внутреннего контроля одной компании. Значительная часть оставшейся украденной криптовалюты приходилась на такие активы, как ETH и BTC, у которых нет эмитента, способного напрямую замораживать балансы.
Эмитенты стейблкоинов отреагировали за считанные минуты
На действия Tether пришлась наибольшая часть замороженных активов. Компания заблокировала переводы на сумму более 1,567 млрд USDT после того, как средства поступили на кошелек Ethereum, который блокчейн-анализ определил как основной кошелек атакующего. Первоначально сообщалось о заморозке примерно 1,18 млрд USDT, а через 17 минут последовала вторая мера, затронувшая четыре связанных с атакующим адреса.
Circle заморозила более 800 млн долларов в USDC, связанных с тем же инцидентом; по сообщениям, общая сумма достигла примерно 823 млн долларов. Мера в отношении USDC последовала примерно через три минуты после первой заморозки Tether и была скоординирована с правоохранительными органами, согласно предоставленным материалам.
Вместе заморозки USDT и USDC охватили около 94% стейблкоинов, выявленных среди украденных активов, которые в основном были сосредоточены в Ethereum и TRON. Результат демонстрирует практические ограничения для атакующих, крадущих стейблкоины централизованного выпуска: они могут контролировать приватные ключи, но возможность перевода может исчезнуть, как только эмитент внесет кошелек в черный список.
ФБР приписывает операцию TraderTraitor
Подразделение ФБР по киберпреступлениям в публичном уведомлении от 31 октября приписало кражу северокорейской группе, действующей под названием TraderTraitor. Бюро определило более 600 адресов Ethereum, почти 20 адресов Bitcoin и один адрес Solana как связанные с этой деятельностью.
После установления авторства ФБР, Секретная служба США и Служба уголовных расследований IRS призвали поставщиков инфраструктуры и криптокомпании блокировать транзакции, связанные с перечисленными кошельками и любыми связанными адресами. Запрос охватывал узлы THORChain, операторов удаленного вызова процедур (RPC), сервисы мгновенного обмена, DeFi-протоколы, фирмы блокчейн-аналитики и поставщиков услуг виртуальных активов.
Секретная служба США сообщила, что связалась с участниками отрасли в течение нескольких минут после инцидента. Она также сообщила, что федеральные прокуроры в Вашингтоне (округ Колумбия) и Центральном округе Калифорнии участвовали вместе с подразделениями Министерства юстиции.
Северокорейские хакерские операции неоднократно полагались на быстрые обмены активов, транзакции через кроссчейн-мосты и множество новых кошельков, чтобы затруднить отслеживание. В данном случае скорость первых заморозок, по-видимому, помешала значительной части баланса стейблкоинов пройти через этот процесс.
Отслеживание расширилось с сотен до тысяч кошельков
Фирмы блокчейн-аналитики Elliptic, Chainalysis, TRM Labs и SlowMist собрали данные об адресах и отслеживали перемещение украденных активов. Elliptic опубликовала загружаемый черный список, который вырос с сотен адресов до тысяч, а затем десятков тысяч, по мере того как следователи отслеживали транзакции через новые кошельки.
Chainalysis сообщила, что около 2,8 млрд долларов было заморожено примерно к 11:30 утра по восточному времени 3 ноября. Фирма заявила, что следователи делились наводками с отраслевыми партнерами, чтобы выявлять и блокировать активы, предупреждая, что использование злоумышленником тысяч адресов может вырасти до десятков тысяч в последующие недели.
TRM Labs заявила о высокой уверенности в атрибуции TraderTraitor, ссылаясь на закономерности, которые она сравнила со взломом Bybit в 2025 году и делом KelpDAO в апреле 2026 года. SlowMist описала последовательность атаки с использованием EIP-7702 — стандарта Ethereum, который может позволить внешне управляемому аккаунту временно использовать код смарт-контракта. По словам SlowMist, злоумышленник репетировал часами, прежде чем применить эту технику при массовой краже токенов с горячих кошельков.
Сообщаемая атака стала бы крупнейшей кражей криптовалюты в истории, более чем в четыре раза превысив примерно 1,5 млрд долларов, украденных у Bybit в феврале 2025 года. Сравнение также показывает, насколько масштабнее становится операционная задача, когда злоумышленники начинают с миллиардов долларов, распределенных по нескольким блокчейнам и типам активов.
Сети использовали чрезвычайные полномочия управления
Arbitrum и Optimism применили экстренные меры под руководством управления, чтобы переместить токены с адресов, контролируемых атакующим, в замораживающие кошельки. Совет безопасности Arbitrum 30 октября перевёл около 8 426 ETH и примерно 74,56 млн ARB — активы стоимостью около $30,5 млн в предоставленных материалах.
Управление Optimism переместило примерно 44 млн OP стоимостью около $5 млн. Эти вмешательства в сумме составили около $35 млн и показывают, что некоторые сети уровня 2 могут действовать более напрямую, чем сети базового уровня, когда структуры управления санкционируют экстренный контроль.
World Liberty Financial отдельно заморозила активы, связанные с атакой, включая около $27 млн в USD1 и примерно $2 млн в WLFI. Организация заявила, что планирует сотрудничать с BitGo в обращении с затронутыми активами.
Такие меры могут сохранить активы во время активной кражи, но также передают чрезвычайные полномочия советам безопасности, голосующим по управлению или эмитентам токенов. Этот компромисс становится всё более заметным, поскольку сети разрабатывают защиту от крупномасштабных эксплойтов.
DeFi-протоколы ограничили заёмные средства
Атакующий также использовал украденные средства в децентрализованных финансах до применения ограничений на уровне протоколов. Данные ончейн показали, что около 60 млн USDT было внесено в Aave V3, после чего было заимствовано примерно 19 762 WETH стоимостью около $44,6 млн на тот момент.
Aave отреагировал, приостановив новые депозиты и заимствования в сотнях управляемых DAO рыночных резервов на V3 и V4. Вывод средств, погашение и ликвидации оставались доступными, что позволяло пользователям сокращать позиции и поддерживать здоровье существующих рынков, одновременно останавливая новую подверженность риску, связанному с скомпрометированным обеспечением.
Централизованные платформы, включая OKX, Coinbase и Bybit, также участвовали в мерах, направленных на перехват переводов со скомпрометированных кошельков. Активы, которые остаются мобильными, представляют более сложный путь восстановления, особенно если они достигнут внебиржевых столов, сервисов микширования или обменных каналов вывода средств до того, как будут идентифицированы.
Сообщалось, что атакующий сохраняет контроль над примерно 420 000 ETH и 18 270 BTC, которые в предоставленных материалах оцениваются примерно в $2,4 млрд. В отличие от USDT, USDC и токенов под управлением голосования, Bitcoin и Ether не могут быть заморожены эмитентом токена. Их возврат зависел бы от отслеживания, изъятия активов или выявления точки, где средства попадают в регулируемый сервис, готовый или обязанный действовать.
Узнайте, как биржи защищают средства после крупных эксплойтов, в этом подробном руководстве по восстановлению.
Отказ от ответственности: Содержание этой страницы предоставляется исключительно в общих информационных целях и не отражает мнения или финансовые рекомендации Toobit. Мы не гарантируем точность или полноту этой информации и не несем ответственности за какие-либо ошибки, упущения или последствия, возникшие в результате ее использования. Инвестирование в цифровые активы связано с риском; пользователям следует самостоятельно оценить свое финансовое положение и связанные с этим риски. Для получения дополнительной информации, пожалуйста, ознакомьтесь с нашими Условиями обслуживания и Раскрытием информации о рисках.
