Автор: SoSoValue Research

29 октября вечером биржа Binance подверглась, предположительно, самой масштабной в истории хакерской атаке. Компания Chainalysis оценивает украденную сумму в 5,9 миллиардов долларов. Цепь аналитиков, таких как ZachXBT, считают, что, скорее всего, за этим стоит северокорейская группировка Lazarus.

Многие задаются вопросом: что хакеры будут делать с украденными монетами? Будут ли они сбрасывать их на рынок? Чтобы ответить на этот вопрос, лучшим примером является инцидент с Bybit, произошедший в феврале 2025 года той же группировкой.

I. Анализ случая Bybit: 500 000 ETH, обмен на BTC за 10 дней.

21 февраля 2025 года с биржи Bybit было украдено около 500 000 ETH, что в то время составляло примерно 1,4 миллиарда долларов и являлось крупнейшим случаем кражи криптовалюты на тот момент.

Хакеры действовали очень быстро:

• 1-й день: Сначала они обменивали stETH, mETH и другие производные активы, обеспеченные залогом, на базовый ETH, а затем разделяли его на большое количество адресов.
• 5-й день: Как минимум 160 000 ETH были переведены через THORChain.
• 9-й день: В течение одного дня было переведено еще 62 200 ETH, в общей сложности около 343 000 ETH были переведены.
• 10-12-й дни: Компания Arkham подтвердила, что около 500 000 ETH были полностью преобразованы в базовый BTC.

Какие каналы использовались?

• THORChain (децентрализованный кросс-чейн протокол): около 72%, 361 000 ETH.
• eXch (платформа обмена без KYC): около 16%, 79 700 ETH.
• Кошелек OKX Web3: около 8%, 40 000 ETH.

THORChain заработал около 5,5 миллионов долларов комиссий, что вызвало резкую критику со стороны сообщества. Компания eXch объявила о закрытии 1 мая 2025 года.

Сколько удалось вернуть? Через два месяца генеральный директор Bybit сообщил, что 68,6% все еще можно отследить, 27,6% "исчезло", а только 3,8% было заморожено.

Вывод: почти весь украденный ETH был обменян на BTC, и менее 4% удалось вернуть.

II. Почему хакеры должны обменять все на BTC?

1. Невозможно заморозить.
2. USDT и USDC имеют эмитентов, которые могут заблокировать адреса в любое время. В этом случае компании Tether и Circle быстро заблокировали около 2,4 миллиардов долларов в стабильных монетах. ETH сам по себе нельзя заморозить, но в экосистеме Ethereum могут быть заблокированы DEX, протоколы кредитования и кросс-чейн мосты. В сети Bitcoin нет таких "препятствий".
3. Наибольшая ликвидность и самая высокая степень принятия.
4. Любой крупный внебиржевой (OTC) трейдер принимает BTC. Компания MIT Technology Review еще в 2020 году отметила, что в конечном итоге хакеры часто возвращаются к Bitcoin, потому что нет другой криптовалюты с такой широкой степенью принятия и такой легкостью обмена на фиатные деньги.
5. Подходит для долгосрочного хранения.
6. Lazarus - это хакерская организация государственного уровня, которая не нуждается в деньгах немедленно. BTC можно хранить несколько месяцев или даже лет, а затем постепенно конвертировать в наличные.

III. Как они выводят деньги после обмена на BTC?

Ответ: Через "серые" внебиржевые (OTC) трейдеров.

Министерство финансов США заявляет, что Северная Корея обычно использует "серых" внебиржевых трейдеров для обмена украденных криптовалютных активов на традиционные деньги. Большинство этих трейдеров находятся в Китае, чтобы избежать внимания финансовых институтов и регулирующих органов.

Примерный путь:

Украденный ETH → Кросс-чейн обмен на BTC → Разделение, микширование → Обмен на USDT на сети Binance → "Серые" трейдеры → Фиатные деньги или материальные ценности.

Как "серые" трейдеры "разрывают цепочку"? За счет "сопоставления" (matching).

У трейдеров криптовалют есть клиенты, которым нужны криптовалюты, но неважно, откуда они получены. Это могут быть люди, желающие перевести средства за границу, платформы для онлайн-азартных игр и мошенничества, а также участники "серой" трансграничной торговли. Трейдеры продают криптовалюту, полученную от хакеров, этим клиентам, а затем передают полученные от них местные валюты лицам, указанным хакерами. Отслеживание транзакций обрывается на уровне трейдера, а деньги поступают от совершенно посторонних лиц.

Куда в конечном итоге попадают эти деньги? Известные примеры:

• Банковские счета, карты UnionPay. В отчете Многосторонней группы по надзору за санкциями (MSMT) говорится о том, что северокорейские хакерские группы использовали китайскую финансовую систему, включая кредитные карты UnionPay и коммерческие банки, для конвертации украденных криптовалютных активов.
• Подарочные карты. Два гражданина Китая, обвиненные Министерством юстиции США в 2020 году, предположительно обналичивали северокорейскую криптовалюту, конвертируя ее в юани или подарочные карты Apple.
• "Серые" финансовые платформы в Юго-Восточной Азии, такие как компания Huayuan Group в Камбодже.
• Регионы, затронутые этими операциями, включают Китай, Россию, Аргентину, Камбоджу, Вьетнам, Объединенные Арабские Эмираты и другие.

Четыре. "Неужели "помеченные" BTC не могут попасть на биржи?"

Это самый распространенный вопрос. Ответ состоит из трех пунктов:

1. "Грязные" криптовалюты вообще не нуждаются в попадании на легальные биржи. Они продаются клиентам из "серого" сектора экономики, которые используют эти криптовалюты для дальнейшей перепродажи и расчетов, а не для пополнения баланса на Binance или Coinbase.
2. "Пометка" – это не постоянная "черно-белая" метка, а оценка риска. После многократных транзакций, смешивания с другими средствами и других операций отслеживание переходит от "определенности" к "вероятности". "Потеря" 27,6% средств в деле Bybit произошла именно по этой причине.
3. Трейдеры компенсируют риски за счет высокой комиссии. Трейдеры знают, что это "грязные" деньги, и взимают комиссии значительно выше обычных. Риски, связанные с блокировкой кошельков, банковских карт и использованием "пустых" компаний, включены в цену.

Конечно, этот путь имеет свои издержки: комиссии за смешивание, комиссии за межсетевые переводы, скидки трейдерам, а также возможная частичная заморозка средств. Однако для страны, находящейся под санкциями и практически не имеющей других источников иностранной валюты, даже получение половины средств – это огромная выгода. По оценкам MSMT, Северная Корея украла около 2,84 миллиарда долларов США в виде криптовалютных активов в период с января 2024 года по сентябрь 2025 года.

Пять. Что это означает для рынка?

• Давление на продажу ETH сосредоточено в основном в начале процесса. Процесс конвертации ETH в BTC, который совершили хакеры, отражается в реальных продажах на рынке. В деле Bybit это заняло около 10 дней, что может служить ориентиром.
• Давление на продажу BTC незначительно и распределено. После конвертации в BTC вывод средств в основном осуществляется через внебиржевые сделки (OTC), которые могут длиться месяцами или даже годами, и в большинстве случаев не проходят через биржевые площадки, поэтому оказывают незначительное прямое влияние на цену.
• Хакеры не являются основной причиной падения. В день взлома Bybit ETH упал примерно на 8%, но последующее падение было в основном связано с макроэкономическими факторами, такими как налоги, и ликвидацией позиций с использованием кредитного плеча.

В чем отличие этой ситуации от предыдущих? Основную часть украденных активов составляют стейблкоины, которые были в значительной степени заморожены. Количество ETH, которое невозможно напрямую заморозить, составляет около 195 000 единиц, что эквивалентно примерно 440 миллионам долларов США, что меньше, чем в случае с Bybit. Кроме того, хакеры используют такие протоколы, как Uniswap и Aave, для конвертации стейблкоинов в ETH, поэтому в конечном итоге количество ETH, которое они будут держать, может увеличиться.

На что стоит обратить внимание в дальнейшем: Изменения в трафике таких кросс-чейн протоколов, как THORChain и Chainflip, являются прямым сигналом скорости, с которой хакеры конвертируют ETH в BTC.

Данная статья носит исключительно информационный характер и не является инвестиционной рекомендацией. События, связанные с Binance, продолжают развиваться, и соответствующие данные могут быть обновлены.