Взлом Binance: около $50 млн украденных XRP обменяны в основном на биткоин, ещё $226 млн остаются на связанных адресах

Как двигались XRP

В материале Bitcoin Magazine об обновлении Elliptic говорится, что 29 октября с 20:05 до 20:09 UTC пять горячих кошельков Binance отправили 233,46 млн XRP на адрес атакующего. В Сингапуре в этот момент было 04:05–04:09 утра 30 октября. Дальнейшую хронологию даёт Elliptic.

По нашему расчёту, 42 млн от 233,46 млн составляют примерно 18% украденных XRP. Значит, около четырёх пятых пока не прошли этот маршрут. Округлённые цифры Elliptic дают в сумме 234 млн, чуть больше исходного объёма, поэтому все эти значения стоит считать приблизительными.

Odaily опубликовало те же $50 млн и $226 млн в 19:17 SGT, а ChainCatcher вышел через несколько минут. Оба ссылаются на Elliptic, так что они подтверждают сам факт отчёта. Отдельными ончейн-замерами их считать нельзя.

Почему украденные средства снова оказываются в биткоине

Elliptic насчитывает около 1 650 BTC, примерно $124 млн, на новых биткоин-адресах после обмена других украденных активов. Это почти вдвое больше, чем сутками ранее, и основной ночной прирост дали XRP, обменянные через THORChain. Во второй половине дня 3 ноября показатель составлял 215 BTC, а утром 4 ноября 470 BTC.

Tether и Circle заморозили стейблкоины в первые же часы, поэтому похититель прежде всего менял их на активы, которые никто не может заблокировать. Bitcoin Magazine объясняет это прямо: эмитенты способны заморозить многие стейблкоины, но не могут так же заморозить XRP, а биткоин заморозить нельзя вовсе. Elliptic видит здесь ту же схему, что и в деле Bybit в феврале 2025 года. Тогда Северная Корея за десять дней отмыла все 499 000 украденных ETH, в основном обменяв их на биткоин, а вывод в деньги занял месяцы.

Цифры за 29 октября показывают, почему скорость имела значение. По данным Elliptic, $3,46 млрд из украденного, или 54%, приходились на стейблкоины, а Tether заморозила похищенные USDT в сети Ethereum через 37 минут после их поступления. До этого атакующий успел обменять 434 млн USDT на ETH на децентрализованных биржах и 234 млн USDT на TRX в сети Tron. Circle заморозила все 823 млн украденных USDC ещё до какого-либо обмена. Всего до заморозки было обменяно около $786 млн в стейблкоинах.

SOL затем задал шаблон, по которому теперь идут XRP. Партии продавали за USDC, переводили через мост в Ethereum, меняли на ETH и затем на биткоин, каждую примерно за час, а одна партия прошла четыре блокчейна менее чем за пять часов.

В центре этого маршрута находится THORChain. Сеть остановила обмены в большинстве своих блокчейнов в 19:34 SGT 31 октября (11:34 UTC) из-за технического сбоя, а затем, по данным Elliptic, возобновила их поздно вечером 3 ноября. Ещё вечером 31 октября ФБР опубликовало адреса атакующего и призвало операторов узлов THORChain блокировать связанные с ними транзакции. Первые $50 млн в XRP всё равно прошли, хотя в отчёте Elliptic не сказано, какую сумму удалось остановить по пути.

Где сейчас находятся $6,43 млрд

Elliptic оценивает кражу в $6,43 млрд. По данным Bitcoin Magazine, позже Binance назвала сумму $6,34 млрд. Сверить эти числа мы не смогли, поэтому в таблице используются только данные Elliptic.

С момента кражи Elliptic насчитала более 20 000 кошельков в 16 блокчейнах, не менее 36 сервисов и не менее 65 000 транзакций. Темп компания объясняет обычной автоматизацией: фиксированные интервалы, заданные суммы и слепые повторы. По её словам, ничто из увиденного не показывает, что решения принимает ИИ-агент.

Показатель $3,11 млрд ниже суммы $3,24 млрд, которую Elliptic приводила 2 ноября. Оставшиеся средства компания оценивает по ценам примерно на 15:55 SGT 6 ноября (07:55 UTC), поэтому разницу нельзя считать объёмом ушедших монет.

Миксеры пока занимают малую долю. С 1 ноября около 33 BTC, или $2,5 млн, прошли через коинджойны типа Wasabi, а около $1,1 млн в ETH и SOL попали в пул Privacy Cash. Примерно $16 млн ушли на адреса, где также лежат средства от взлома Bitget в сентябре 2026 года, который Elliptic тоже приписывает TraderTraitor. ФБР связало кражу у Binance с этой группой.

Что показывает график XRP, а что нет

Сегодня XRP слабее биткоина. Публичный тикер OKX показывал XRP-USDT на уровне $1,1937 в 00:41 SGT 7 ноября при цене открытия 24-часового окна $1,2499, то есть падение примерно на 4,5%. BTC-USDT на OKX стоил $75 714,9 против $76 642,7, падение примерно на 1,2%.

Ни один открытый нами источник не связывает этот разрыв с обменами, и мы такой связи не утверждаем. Оценить её помогут объёмы. По нашим данным о ликвидациях и рынке, на 00:38 SGT 7 ноября оборот бессрочного контракта XRPUSDT на Binance за 24 часа составил $960,8 млн. В таком масштабе уже обменянные $50 млн равны примерно 5% суточного оборота одной площадки, а оставшиеся $226 млн примерно 24%. К тому же обмены шли через THORChain на множестве счетов и в этот стакан не попадали.

На странице ставок финансирования в том же срезе XRP показывал 0,0047% на Binance и 0,0036% на OKX за один период. Обе ставки положительные и ниже, чем у BTC с 0,0093% и 0,0045%. При таких значениях лонги платили шортам небольшую сумму. Наши данные также показывают ликвидации XRPUSDT на $6,34 млн за 24 часа из $232,9 млн, наблюдавшихся всего.

Что это значит для вас

• Проверьте XRP на Binance в собственном аккаунте. Откройте страницу кошелька и посмотрите баланс и доступность ввода и вывода в вашей сети. Bitcoin Magazine сообщает, что Binance поэтапно открыла вывод средств и покрывает потери клиентов из собственных средств. Обновление Elliptic касается кошельков похитителя и об отдельных балансах ничего не говорит.
• Подтвердите любое сообщение о «компенсации от Binance» через официальное приложение или сайт, прежде чем переходить по ссылке. Не подключайте кошелёк по таким просьбам.
• Если вы торгуете бессрочными контрактами на XRP на Binance или OKX, проверьте цену ликвидации и ставку финансирования до следующего расчёта. На OKX XRP за 24 часа уже снизился примерно на 4,5%, и никто не может сказать, когда придут в движение оставшиеся 192 млн XRP.
• Если вы покупаете XRP или BTC вне биржи, сохраните хеш транзакции и данные продавца. Elliptic сообщает, что её клиенты могут проверять почти 18 000 адресов, связанных с кражей, а централизованные сервисы являются тем местом, где такие средства можно остановить. Поэтому ваш будущий депозит могут сверить с этим списком.

Чего ожидает Elliptic

Elliptic предполагает, что ETH будут менять на биткоин множеством мелких транзакций, а затем выводить через внебиржевых брокеров в течение месяцев. Основные запасы ETH и BTC пока не двигались. По оценке компании, эти средства, скорее всего, всё ещё у Северной Кореи, а отмываемая часть, возможно, уже у китайских сетей по отмыванию денег. Ончейн-данные не позволяют различить эти случаи.

Новые заморозки будут даваться труднее. Elliptic указывает, что заморожено 44% украденного, тогда как после взлома Bybit около 3%. Лучшими оставшимися шансами компания называет стейблкоины, ненадолго оказавшиеся в пути, и централизованные сервисы в момент вывода. В деньги пока, вероятно, переведена ничтожно малая сумма, ведь похитителю всё ещё нужен контрагент, чтобы превратить монеты в средства для расходов.

Дальше стоит следить за двумя показателями: числом 192 млн XRP в следующем обновлении Elliptic и движением на девяти крупных адресах, где лежит 89% ETH атакующего.

Что нам подтвердить не удалось

• Сколько XRP заблокировали операторы узлов THORChain и другие сервисы. Elliptic этой цифры не приводит.
• Дошло ли давление от обменов до биржевых стаканов. Ни один открытый нами источник этого не измеряет.
• Какая общая сумма точнее, $6,43 млрд или $6,34 млрд. Первая принадлежит Elliptic, вторая приведена Bitcoin Magazine как цифра Binance.

Частые вопросы

Можно ли ещё заморозить украденные XRP?

Bitcoin Magazine пишет, что эмитенты не могут замораживать XRP так, как стейблкоины. Шансы на новые заморозки Elliptic видит в стейблкоинах на пути и в централизованных сервисах в момент вывода.

Продал ли похититель XRP за деньги?

Заметного вывода пока не видно. Около 42 млн XRP ушли и были обменяны, в основном на биткоин, а по всей краже, как считает Elliptic, в деньги переведена, вероятно, ничтожно малая сумма.

Меняет ли это что-то для моего баланса на Binance?

Отчёт отслеживает кошельки похитителя. Проверьте баланс и статус вывода в своём аккаунте Binance, а о проверках банков после инцидента читайте в нашем материале о ФРС и OCC.