Через три дня после взлома Binance правительство США поставило под атрибуцией свою подпись. В субботу, 31 октября 2026, ФБР вместе с Секретной службой и уголовными следователями IRS заявило, что северокорейская группа TraderTraitor украла у Binance более $6 млрд в виртуальных активах 29 октября или около того, и опубликовало список адресов атакующих, которые индустрии предлагается блокировать.
В те же выходные THORChain — один из маршрутов, на которые указывали аналитики как на канал отмывания, — приостановил торги в десяти из тринадцати подключённых сетей. Причиной, по сообщениям, стал технический сбой, а не взлом. Эффект тот же: один выход закрылся.
Главное
- 31 октября 2026 ФБР, Секретная служба и IRS-CI приписали кражу более $6 млрд у Binance северокорейской группе TraderTraitor.
- В уведомлении более 600 адресов в Ethereum, чуть меньше 20 в Bitcoin и один в Solana; компаниям предлагают блокировать транзакции с ними.
- Elliptic насчитывает $6,43 млрд украденного и $2,85 млрд (44%) замороженного или изъятого; 94% замороженного — стейблкоины.
- По данным Elliptic, у атакующего остаётся около $3,21 млрд в нативных монетах, включая 519 104 ETH и 18 270 BTC.
- THORChain остановил торги в 10 из 13 сетей, включая Bitcoin, Ethereum, Solana и Tron, после реорга Ethereum, из-за которого исчез подтверждённый депозит в 10 ETH.
- До паузы THORChain выплатил 17 019 ETH на 170 адресов и 53,25 BTC на 20 адресов; по данным SomaXBT, около $44 млн добычи со стороны Tron прошли через него.
Что ФБР сообщило о взломе Binance?
ФБР приписывает кражу более $6 млрд у Binance, совершённую 29 октября 2026 или около того, группе TraderTraitor — так власти США с 2022 года называют государственную северокорейскую кампанию против криптокомпаний. В уведомлении перечислены адреса атакующих в трёх сетях, а операторов нод, свап-сервисы, DeFi-протоколы и других провайдеров просят блокировать транзакции с ними.
Как пишет ABC News, ФБР ожидает, что атакующие продолжат двигать средства через DeFi и сервисы мгновенного обмена. Уведомление — это просьба к индустрии, а не санкционное решение: на 1 ноября ни один адрес не был внесён в список SDN.
Чем занимается TraderTraitor
Власти США связывают TraderTraitor с фейковыми предложениями о работе, поддельными документами соискателей, троянизированным торговым софтом и многомесячным общением с сотрудниками целевых компаний. На эту же группу возлагают ответственность за кражу около $1,46 млрд у Bybit в феврале 2025.
Блэклист закрывает двери. Деньги всё равно ищут те, что остались открытыми.
Где сейчас украденные у Binance деньги?
Анализ Elliptic насчитывает $6,43 млрд, украденных в одиннадцати блокчейнах примерно за три часа, и $2,85 млрд замороженных или изъятых — 44% добычи, из них 94% в стейблкоинах. У атакующего остаётся около $3,21 млрд в нативных монетах: примерно 519 104 ETH и 18 270 BTC. Биткоины дробятся по 19 адресам «пилинговой цепочкой» и, по последним данным Elliptic, ни к одному провайдеру ещё не дошли.
Отмывание идёт быстро и отчасти автоматически. По данным Elliptic, 434 млн USDT обменяли на 160 451 ETH со скидкой 12–26%, а основной кошелёк для отмывания в Tron отправил 546 переводов с медианным интервалом 96 секунд. Binance сообщает, что восполнил 90% недостающих активов из средств компании и возобновил выводы.
Почему THORChain остановил торги?
31 октября THORChain приостановил торги в 10 из 13 подключённых сетей после того, как реорганизация блока в Ethereum стёрла уже подтверждённый депозит в 10 ETH. Связанный свап не прошёл и был возвращён, и в хранилище образовалась недостача в 10 ETH; автоматическая проверка платёжеспособности остановила торги Ether, а операторы нод затем приостановили и другие сети. Пользователи вернули 10 ETH, хранилище снова платёжеспособно.
Пауза заодно перекрыла один из маршрутов отмывания. Ончейн-аналитик SomaXBT, которого цитирует The Block, насчитал около $242 млн, отмытых из Tron за два дня; крупнейшие маршруты — Relay ($48 млн), THORChain ($44 млн), Chainflip ($32,1 млн) и Symbiosis ($16 млн). К понедельнику торги возобновились в Avalanche, Base и XRP Ledger; Bitcoin, Ethereum и Solana оставались закрыты без даты.
Что это значит для тех, кто делает свапы
Когда в движении кража такого масштаба, под пристальным вниманием каждый маршрут обмена. Провайдеры сверяют депозиты с адресами ФБР и метками аналитических компаний, некоторые маршруты встают на паузу или замедляются. Для обычных пользователей это может означать дополнительную проверку или более долгое ожидание; для атакующего — меньше дверей. И то и другое работает как задумано.
Если свап задержали на проверку, провайдер обычно попросит подтвердить происхождение средств; процесс описан в нашей AML-политике, а что будет при отклонении депозита — в гайде по адресу возврата. В SwapZilla видно, какой провайдер обслуживает каждую котировку, — см. страницу провайдеров. Почему кроссчейн-маршруты так часто становятся целью, объясняет наш гайд о взломах мостов и безопасных свапах.
Финальная мысль
Список ФБР превращает атрибуцию аналитиков в официальную просьбу ко всей индустрии. Около 44% добычи заморожено; остальное — нативные ETH и BTC, от которых могут отказаться только сами провайдеры. Ближайшие месяцы покажут, сколько из них это сделает.