По данным отслеживания блокчейна, команда, стоящая за масштабным взломом Binance в 2026 году, продолжает перемещать и конвертировать значительную часть украденных средств, связанных с Solana. Потоки отмывания всё чаще проходят через кроссчейн-протокол обмена THORChain.

Согласно данным Arkham, приведённым в публикациях, кошельки, связанные с группой «хакеров Binance», сейчас хранят 182 443 SOL (около 16,9 млн долларов), а более широкая группа злоумышленников уже переместила примерно 81% из 970 522 SOL, предположительно похищенных в ходе атаки. Эта сумма связана как минимум с частью описанной следователями схемы отмывания средств.

Главное

• Согласно данным Arkham, связанные со взломом Binance группы кошельков хранят 182 443 SOL на сумму около 16,9 миллиона долларов.

• Отслеживание Lookonchain указывает на то, что злоумышленники проделали несколько этапов конвертации: SOL → USDC → перевод в Ethereum → ETH → BTC через THORChain.

• THORChain возобновила свопы в нескольких сетях после остановки, вызванной реорганизацией блоков Ethereum, которая выявила ошибку в механизме возврата средств.

• Chainalysis сообщила, что остановка непреднамеренно задержала отмывание средств, а другие аналитики блокчейна оценивают, что значительная доля связанных с этим транзакций была автоматизирована.

• Власти возложили ответственность за взлом на лиц, связанных с Северной Кореей, однако северокорейские официальные лица это отрицают. Тем временем следователи продолжают отслеживать роль THORChain в отмывании средств после других крупных взломов.

Средства злоумышленников и «лестница конвертации»

Последние схемы перемещения средств изучаются на фоне того, как исследователи отслеживают их распределение по кошелькам, конвертацию и перевод между блокчейнами. Согласно упомянутым в отчёте данным мониторинга Arkham на уровне сущностей, группа кошельков связана со взломом Binance; на них приходится 182 443 SOL — около 18,8% от 970 522 SOL, приписываемых этой атаке.

В своём обновлении в среду Lookonchain описала многоэтапный маршрут, использованный злоумышленниками: SOL распределили по нескольким кошелькам, затем продали за USDC, после чего полученные стейблкоины перевели в Ethereum, чтобы купить эфир (ETH). Последний описанный этап — обмен ETH на биткоин (BTC) через THORChain, межсетевую биржу, предназначенную для конвертации активов без использования традиционных централизованных книг ордеров.

Для инвесторов и трейдеров эти детали важны, поскольку показывают, как хакеры могут превратить крупную, подверженную волатильности криптовалютную добычу в несколько ликвидных форм в разных экосистемах — зачастую раньше, чем защитники успевают отреагировать или заморозить средства. Это также помогает понять, почему межсетевые каналы ликвидности, такие как THORChain, часто становятся объектом пристального мониторинга во время крупных инцидентов.

Подробности взлома Binance и поиск виновных

Binance сообщила, что её системы были скомпрометированы после того, как злоумышленники получили доступ к устройствам сотрудников с помощью фальшивых приглашений на собеседование и загрузок вредоносного ПО. Биржа назвала инцидент крупнейшим в истории взломом и позднее заявила, что возместила 98% затронутых токенов и покроет оставшиеся убытки.

В рамках расследования Федеральное бюро расследований США (ФБР) в субботу возложило ответственность за атаку на северокорейских хакеров TraderTraitor и призвало поставщиков криптовалютных услуг — в частности, операторов THORNode — блокировать транзакции, связанные с украденными активами.

Реакция Северной Кореи последовала незамедлительно. Ким Ё Чжон, сестра северокорейского лидера Ким Чен Ына, назвала обвинения ФБР «абсурдной риторикой», согласно материалам, на которые ссылается исходный репортаж.

Споры об атрибуции кибератак — не редкость, однако здесь примечательна конкретика оперативных мер: регулирующие органы и следователи добиваются блокировки отдельных транзакций в некоторых сегментах межсетевой инфраструктуры. Это указывает на то, что власти считают маршрут отмывания не просто случайным.

Приостановка свопов в THORChain и почему она замедлила (а затем вновь позволила продолжить) отмывание средств

Способность THORChain обрабатывать свопы стала частью истории после приостановки, а затем возобновления работы сервиса. В более ранних материалах, упомянутых в отчёте, отмечается, что THORChain приостановила торговлю биткоином, эфиром и другими активами в разных сетях из-за связанной с Ethereum проблемы: реорганизация блоков выявила ошибку в механизме возврата средств.

Когда в среду THORChain возобновила торговлю, межсетевые свопы снова стали доступны в нескольких сетях. Согласно упомянутым в отчёте данным Chainalysis, приостановка непреднамеренно задержала отмывание средств, связанных с атакой на Binance. Это важный практический момент. Даже если хакеры готовят многоэтапные планы, временная остановка используемых ими каналов может дать время на мониторинг, координацию и введение возможных мер контроля рисков.

Параллельно аналитики пытались оценить методы действий злоумышленников. По оценке SomaXBT, около 54% из более чем 47 600 транзакций злоумышленников в сетях Tron и Solana были автоматизированы. Это указывает на то, что обмен и распределение средств, скорее всего, выполнялись по скриптам, а не вручную.

Расширение маршрутов отмывания и за чем следить дальше

Описанная схема отмывания также указывает на гибкость выбора географических направлений и блокчейнов. Как сообщается, в воскресенье хакеры Binance расширили активность на Solana, предварительно опустошив большую часть временных кошельков для хранения средств в сети Tron. По оценке Chainalysis, через Tron прошло в общей сложности около 500 миллионов долларов, включая неоднократные переводы между кошельками. Такое поведение согласуется с попытками скрыть происхождение средств за счёт быстрых последовательных переводов.

В отчёте THORChain также рассматривается в контексте более широкой и продолжающейся истории отмывания средств. Группировки хакеров, связанные с Северной Кореей, подозреваются в использовании THORChain для отмывания доходов от других крупных взломов, в том числе упомянутого в исходном материале взлома Bybit на 1,4 миллиарда долларов.

Для читателей главный вопрос на будущее — смогут ли власти эффективно нарушить цепочку отмывания, не затрудняя легальное использование межсетевых сервисов. В ближайшее время стоит следить за двумя вещами: (1) продолжит ли конвертация украденных активов смещаться в сторону других площадок ликвидности и (2) насколько быстро оперативные меры контроля и инструменты мониторинга смогут выявлять и предотвращать повторное использование подобных межсетевых маршрутов.

Изначально эта статья была опубликована под заголовком «Хакеры Binance переместили 81% украденных SOL и использовали THORChain для перевода средств» на сайте Crypto Breaking News — вашем надёжном источнике новостей о криптовалютах, биткоине и обновлениях блокчейна.