Куда уходят украденные хакерами монеты? От Bybit до Binance: разбор путей отмывания средств Lazarus

Автор: SoSoValue Research

Вечером 29 октября Binance подверглась, предположительно, крупнейшей хакерской атаке в истории. Chainalysis оценивает сумму похищенного примерно в $5,9 млрд, а ончейн-детектив ZachXBT считает, что за атакой, скорее всего, стоит северокорейская группа Lazarus.

Многих интересует: как хакеры распорядятся этими монетами? Не обрушат ли они рынок? Чтобы ответить на этот вопрос, лучше всего обратиться к делу Bybit, которое в феврале 2025 года совершила та же группа.

1. Разбор Bybit: 500 000 ETH за 10 дней полностью конвертированы в BTC

21 февраля 2025 года Bybit потеряла около 500 000 ETH на сумму примерно $1,4 млрд — на тот момент это была крупнейшая кража криптовалюты в истории.

Хакеры действовали очень быстро:

● День 1: сначала конвертировали ликвидные токены стейкинга (stETH, mETH и др.) в нативный ETH, затем распределили средства по множеству адресов.

● День 5: хакеры перевели через THORChain как минимум 160 000 ETH.

● День 9: за один день переведено ещё 62 200 ETH, всего переведено около 343 000 ETH.

● Дни 10–12: Arkham подтвердил, что все 500 000 ETH были полностью конвертированы в нативный BTC.

Какие каналы использовались?

● THORChain (децентрализованный кроссчейн-протокол): около 72%, 361 000 ETH

● eXch (обменная платформа без KYC): около 16%, 79 700 ETH

● Кошелёк OKX Web3: около 8%, 40 000 ETH

THORChain получил около $5,5 млн комиссионных, что вызвало резкую критику сообщества. eXch объявил о закрытии 1 мая 2025 года.

Сколько удалось вернуть? Через два месяца генеральный директор Bybit опубликовал данные: 68,6% средств всё ещё поддаются отслеживанию, 27,6% «исчезли», и только 3,8% были заморожены.

Вывод: почти все украденные ETH были конвертированы в BTC, реально возвращено менее 4%.

2. Почему хакеры обязательно конвертируют в BTC?

Никто не может заморозить

У USDT и USDC есть эмитенты, которые могут в любой момент заблокировать адреса. В этом инциденте с Binance Tether и Circle быстро заморозили около $2,4 млрд в стейблкоинах. Сам ETH заморозить нельзя, но DEX, кредитные протоколы и кроссчейн-мосты в экосистеме Ethereum могут блокировать средства. На блокчейне биткоина таких барьеров нет.

Самая высокая ликвидность и признание

Любой OTC-дилер в мире принимает BTC. Ещё в 2020 году MIT Technology Review указывал, что хакеры в конечном итоге почти всегда возвращаются к биткоину, потому что ни одна другая монета не имеет такого широкого признания и не конвертируется в наличные так легко.

Подходит для долгосрочного хранения

Lazarus — спонсируемая государством хакерская группа, которой не нужны деньги срочно. BTC можно хранить месяцами или даже годами, а затем постепенно обналичивать, когда шум утихнет.

3. Как обналичивают после конвертации в BTC?

Ответ: через нелегальные OTC-площадки (внебиржевую торговлю).

Минфин США указывает, что Северная Корея обычно конвертирует украденные криптоактивы в фиатные деньги через внебиржевых трейдеров, большинство из которых находятся в Китае, чтобы избежать внимания финансовых институтов и регуляторов.

Примерная схема:

Украденные ETH → кроссчейн-конвертация в BTC → дробление, миксование → часто конвертация в USDT на блокчейне Tron → подпольный трейдер → фиат или товары

Как трейдеры «обрывают цепочку»? С помощью «согласованных сделок».

У трейдера одновременно есть другие покупатели, которым нужна криптовалюта и которым безразлично её происхождение: например, люди, желающие вывести капитал за границу, платформы онлайн-гемблинга и мошенничества, серая трансграничная торговля. Трейдер продаёт монеты хакеров этим покупателям, а полученную от них местную фиатную валюту передаёт лицам, указанным хакерами. Ончейн-след обрывается на трейдере, а деньги вне блокчейна поступают от совершенно посторонних людей.

Куда в итоге попадает фиат? Известные примеры:

● Банковские счета, карты UnionPay. В отчёте Многосторонней группы по мониторингу санкций (MSMT) говорится, что северокорейские киберподразделения использовали китайскую финансовую систему, включая кредитные карты UnionPay и коммерческие банки, для обналичивания украденных криптоактивов.

● Подарочные карты. В 2020 году Минюст США предъявил обвинения двум гражданам Китая, которые, как утверждается, конвертировали криптовалюту, украденную Северной Кореей, в юани или подарочные карты Apple.

● Серые финансовые платформы в Юго-Восточной Азии, например камбоджийская Huione Group.

● Вовлечённые регионы включают Китай, Россию, Аргентину, Камбоджу, Вьетнам, ОАЭ и другие.

4. «Разве помеченные BTC не могут попасть на биржи?»

Это самый частый вопрос. Ответ состоит из трёх частей:

Монетам с сомнительным происхождением вообще не нужны легальные биржи. Они продаются покупателям в серой экономике, которые используют монеты для дальнейшего обращения и расчётов, а не для пополнения счетов на Binance или Coinbase.

Пометка — это не постоянная метка «чёрное/белое», а оценка риска. После множества промежуточных переводов, миксования и смешивания с другими средствами отслеживание становится вероятностным. Именно поэтому 27,6% средств по делу Bybit «исчезли».

Трейдеры покрывают риск высокой комиссией. Трейдер знает, что средства имеют сомнительное происхождение, и берёт комиссию значительно выше обычной. Кошельки, банковские карты и подставные компании меняются после каждого использования, а риски санкций и заморозки закладываются в цену.

Конечно, у этого пути есть издержки: комиссии за миксование, кроссчейн-сборы, дисконт трейдера, замороженные средства — потери могут быть значительными. Но для страны под санкциями, у которой почти нет других источников иностранной валюты, вернуть даже половину — огромная выгода. По оценкам MSMT, с января 2024 года по сентябрь 2025 года Северная Корея похитила криптоактивы примерно на $2,84 млрд.

5. Что это значит для рынка?

● Давление со стороны продавцов ETH сосредоточено на начальном этапе. Процесс конвертации ETH в BTC хакерами — это реальные продажи на блокчейне. В деле Bybit он занял около 10 дней, что можно использовать как ориентир.

● Давление со стороны продавцов BTC невелико и рассредоточено. После конвертации в BTC вывод средств происходит в основном через внебиржевые согласованные сделки, может длиться месяцы или даже годы и в основном не проходит через биржевые книги заявок, поэтому прямое влияние на цену минимально.

● Хакеры — не главная причина резких падений. В день кражи Bybit ETH упал примерно на 8%, но последующее сильное падение было вызвано в основном макроэкономическими факторами, такими как пошлины, и ликвидацией позиций с плечом.

Чем отличается нынешний инцидент с Binance? Основную часть украденных активов составляют стейблкоины, которые уже в значительной мере заморожены; ETH, которые нельзя напрямую заморозить, около 195 000 монет на сумму примерно $440 млн — меньше, чем в деле Bybit. Кроме того, хакеры используют протоколы Uniswap, Aave и другие для конвертации стейблкоинов в ETH, поэтому их итоговый запас ETH может увеличиться.

За чем стоит следить дальше: за изменением объёмов транзакций в кроссчейн-протоколах THORChain, Chainflip и других — это прямой сигнал о скорости конвертации ETH в BTC хакерами.

Эта статья предназначена только для образовательных целей и не является инвестиционной рекомендацией. Инцидент с Binance всё ещё развивается, данные могут обновляться.