727 FinanceРазбирая дело Bybit: как хакеры за 10 дней конвертировали 500 000 ETH в BTC, раскрывая полный процесс кросс-чейн отмывания монет и вывода наличных через подпольные OTC-площадки. Давление продаж ETH было концентрированным, влияние на BTC — ограниченным, и хакеры не были основной причиной крупного падения.
Автор: SoSoValue Research
Вечером 29 октября Binance подверглась, как предполагается, крупнейшей хакерской атаке в истории. Chainalysis оценивает украденную сумму примерно в 5,9 млрд долларов, а ончейн-детектив ZachXBT считает, что атаку, скорее всего, осуществила северокорейская группа Lazarus.
Многих волнует: как хакеры распорядятся этими монетами? Будут ли они их сбрасывать? Чтобы ответить на этот вопрос, лучший ориентир — инцидент с Bybit, совершённый той же группой в феврале 2025 года.
I. Возвращаясь к Bybit: 500 000 ETH, все конвертированы в BTC за 10 дней
21 февраля 2025 года с Bybit было украдено примерно 500 000 ETH стоимостью около 1,4 млрд долларов на тот момент, что сделало это крупнейшей кражей криптовалюты в истории на тот период.
Хакеры действовали очень быстро:
● День 1: сначала конвертировали стейкинговые деривативы, такие как stETH и mETH, в нативный ETH, затем распределили его по большому количеству адресов.
● День 5: как минимум 160 000 ETH уже были переведены кросс-чейн через THORChain.
● День 9: ещё 62 200 ETH было переведено за один день, доведя совокупный объём до примерно 343 000 ETH.
● Дни 10–12: Arkham подтвердил, что примерно 500 000 ETH были полностью переведены из Ethereum в нативный BTC.
Какие каналы использовались?
● THORChain (децентрализованный кросс-чейн протокол): около 72%, 361 000 ETH
● eXch (обменная платформа без KYC): около 16%, 79 700 ETH
● OKX Web3 Wallet: около 8%, 40 000 ETH
Таким образом, THORChain заработал около 5,5 млн долларов на комиссиях, что вызвало резкую критику со стороны сообщества. Позже eXch объявила о закрытии 1 мая 2025 года.
Сколько в итоге удалось вернуть? Два месяца спустя CEO Bybit опубликовал данные, согласно которым 68,6% оставались отслеживаемыми, 27,6% «исчезли», и только 3,8% было заморожено.
Вывод: почти весь украденный ETH был конвертирован в BTC, и фактически возвращено менее 4%.
II. Почему хакеры обязаны конвертировать в BTC?
1. Никто не может его заморозить
2. У USDT и USDC есть эмитенты, которые могут в любой момент внести адреса в чёрный список. В этом инциденте с Binance Tether и Circle быстро заморозили около 2,4 млрд долларов в стейблкоинах. Сам ETH заморозить нельзя, но DEX, кредитные протоколы и кросс-чейн мосты в экосистеме Ethereum могут его заблокировать. На цепочке Bitcoin таких «контрольных точек» нет.
3. Самая глубокая ликвидность и наивысшая степень принятия
4. Любой внебиржевой дилер в любой точке мира принимает BTC. MIT Technology Review ещё в 2020 году отмечал, что хакеры в конечном итоге склонны возвращаться к Bitcoin, поскольку ни одна другая монета не является настолько широко принимаемой и настолько легко конвертируемой в наличные.
5. Подходит для долгосрочного хранения
6. Lazarus — хакерская организация государственного уровня, и она не спешит использовать деньги. BTC можно держать месяцами или даже годами, ожидая, пока ажиотаж утихнет, прежде чем обналичивать партиями.
III. После конвертации в BTC как происходит обналичивание?
Ответ: обналичивание через подпольных OTC-дилеров (внебиржевых).Министерство финансов США указывает, что Северная Корея обычно использует внебиржевых дилеров для конвертации украденных криптоактивов в традиционную валюту, и большинство этих дилеров находятся в Китае, избегая внимания финансовых учреждений и регуляторов.
Общий путь:
Украденный ETH → переведён через мост в BTC → разделён и перемешан → часто конвертируется в USDT в сети Tron → подпольные дилеры → фиатная валюта или стоимость в натуральной форме
Как дилеры «разрывают цепочку»? Через «зеркальные сделки».
У дилеров одновременно есть другая группа покупателей, которым нужна криптовалюта, но которые не заботятся о её происхождении, например люди, пытающиеся вывести средства за границу, платформы онлайн-гемблинга и мошенничества, а также серый трансграничный бизнес. Дилер продаёт монеты хакеров этим людям, затем передаёт местную фиатную валюту, уплаченную этими людьми, лицам, указанным хакерами. Ончейн-отслеживание заканчивается на дилере, в то время как офчейн-деньги поступают от совершенно не связанных сторон.
Куда в конечном итоге попадает фиатная валюта? Публичные дела включают:
● Банковские счета и карты UnionPay. В отчёте Группы многостороннего мониторинга санкций (MSMT) указывается, что киберсилы Северной Кореи использовали финансовую систему Китая, включая кредитные карты UnionPay и коммерческие банки, для обналичивания украденных криптоактивов.
● Подарочные карты. Двум гражданам Китая, обвинённым Министерством юстиции США в 2020 году, было предъявлено обвинение в конвертации монет Северной Кореи в юани или подарочные карты Apple для обналичивания.
● Серые финансовые платформы в Юго-Восточной Азии, такие как камбоджийская группа Huione.
● Затронутые регионы включают Китай, Россию, Аргентину, Камбоджу, Вьетнам, ОАЭ и другие.
IV. «Разве помеченный BTC не может попасть на биржи?»
Это самый распространённый вопрос. Ответ состоит из трёх пунктов:
1. Грязные монеты вовсе не обязаны попадать на комплаентные биржи. Они продаются покупателям в серой экономике, которые используют монеты для дальнейшего обращения и расчётов и не будут вносить их на Binance или Coinbase.
2. Пометка — это не постоянный ярлык «чёрное-белое», а оценка риска. После нескольких слоёв ретрансляции, перемешивания и смешивания с другими средствами отслеживание переходит от «определённого» к «вероятностному». Именно поэтому 27,6% средств в деле Bybit «исчезли».
3. Дилеры покрывают риск высокими комиссиями. Дилеры знают, что это грязные деньги, и взимают комиссии, значительно превышающие обычный уровень. Кошельки, банковские карты и подставные компании заменяются после использования, а риск санкций и заморозки полностью заложен в цену.
Конечно, этот путь также имеет издержки: комиссии за перемешивание, комиссии за кросс-чейн, дисконты дилеров и замороженные части могут привести к значительным потерям. Но для страны под санкциями, почти не имеющей других источников иностранной валюты, возврат половины всё равно является огромным выигрышем. По оценкам отчёта MSMT, Северная Корея украла около 2,84 млрд долларов в криптоактивах в период с января 2024 года по сентябрь 2025 года.
V. Что это значит для рынка?● Давление продаж ETH сосредоточено на раннем этапе. Процесс конвертации ETH в BTC хакерами включает реальные продажи в сети. В случае Bybit это заняло около 10 дней и может служить ориентиром.
● Давление продаж BTC невелико и рассредоточено. После конвертации в BTC обналичивание происходит в основном через внебиржевые зеркальные сделки и может длиться месяцами или даже годами, чаще всего не проходя через биржевые книги заявок, поэтому прямое влияние на цену очень мало.
● Хакеры не являются основной причиной крупных падений. В день кражи Bybit ETH упал примерно на 8%, а последующее крупное снижение было вызвано в основном макрофакторами, такими как тарифы и ликвидация кредитного плеча.
Что отличается в этом инциденте с Binance? Основная часть украденных активов представляла собой стейблкоины, которые уже в значительной степени заморожены; непосредственно незамораживаемый ETH составляет около 195 000 монет стоимостью около 440 млн долларов, что меньше масштаба дела Bybit. Кроме того, хакеры используют такие протоколы, как Uniswap и Aave, для конвертации стейблкоинов в ETH, поэтому их итоговые запасы ETH могут увеличиться.
Что стоит отслеживать далее: изменения трафика в таких кросс-чейн протоколах, как THORChain и Chainflip, которые являются прямыми сигналами скорости конвертации хакерами ETH в BTC.
Эта статья предназначена только для образовательных целей и не является инвестиционной рекомендацией. Инцидент с Binance все еще развивается, и соответствующие данные могут обновляться.