30 октября ZachXBT и SlowMist последовательно указали на Lazarus Group.
31 октября Трамп сказал: «Идёт расследование».
1 ноября ФБР официально признало ответственность Северной Кореи. В тот же день Трамп изменил позицию: «Пока неясно».
ФБР говорит, что это Северная Корея. Президент говорит «не уверен». Возврат 6 миллиардов долларов за ночь превратился из уголовного дела в дипломатический козырь.
Теперь к сути: как именно шли деньги.
Первый шаг — обмен на ETH.
Украденные активы в основном были конвертированы в эфир. Почему ETH? Потому что DeFi здесь самый глубокий, вариантов микширования больше всего, а кроссчейн-мосты самые плотные. ETH — не «лучшая валюта», а лучший растворитель для отмывания денег.
Второй шаг — переход через кроссчейн-мост.
SlowMist отследил, что украденные TRX были переведены через кроссчейн-мост Bitget Wallet. Кроссчейн-мосты — самая уязвимая часть современной системы борьбы с отмыванием — они находятся в регуляторных пробелах между двумя цепочками, обе стороны контролируют, но не полностью.
Третий шаг — повторное использование инфраструктуры. Это самый болезненный момент.
Целевой адрес для приёма средств ранее использовался хакерами Phemex. А хакеры Phemex и атакующие Bybit принадлежат к Lazarus.
Перевод: они не используют новые инструменты, а старую конвейерную линию. По одной и той же трубе отмывают деньги: сначала Phemex, потом Bybit, теперь 6 миллиардов Binance.
Это не единичная атака. Это уже отлаженная и массово используемая линия монетизации.
Четвёртый шаг — завершение через DeFi-протоколы и мгновенный обмен. ФБР ожидает, что дальше отмывание будет продолжаться через DeFi и мгновенный обмен. На этом этапе деньги уже разбиты на десятки тысяч транзакций, разбросаны по пулам ликвидности, видны в блокчейне, но вернуть их невозможно.
Так что же на самом деле говорит объявление ФБР?
Оно говорит: отмывание денег стало «инфраструктурным».
Раньше борьба с отмыванием фокусировалась на адресах депозитов бирж. Теперь хакеры разбивают деньги, прячут их в кроссчейн-мостах, RPC-узлах, DeFi-пулах, мгновенных обменах — каждый из этих элементов — легальная инфраструктура, каждый используется лишь частично.
Один лишь заморозка адреса биржи не остановит и 1% их схемы отмывания.
Вот почему список блокировок ФБР расширился до операторов узлов и DeFi-сервисов. Не потому что они хотят контролировать, а потому что без этого уже невозможно отследить.
$BTC$ETH$SOL
Дисклеймер: контент OKX Orbit предоставляется исключительно в информационных целях. Подробнее
