Около $3,11 млрд из похищенных $6,43 млрд с Binance до сих пор остаются на адресах, связаных с атакой, и, по данным аналитиков Elliptic, в основном представлены в ETH и Bitcoin. В отчёте, обновлённом в пятницу, компания отмечает, что примерно $2,85 млрд — 44% похищенного — уже заморожены или изъяты, главным образом в виде стейблкоинов, которые эмитенты вроде Tether и Circle заморозили в течение часа после взлома.
Лавировка украденных средств проводилась массово и автоматизированно: более 20 000 кошельков на 16 блокчейнах, как минимум 36 сервисов и около 65 000 транзакций. По оценке Elliptic, только незначительная часть была выведена в наличные; аналитики ожидают, что атакующие будут постепенно свопить активы в BTC и выводить через OTC-брокеров в течение нескольких месяцев — сценарий, повторяющийся после взлома Bybit в 2025 году.
Часть движения уже заметна: около $50 млн в XRP поменяно, в основном через THORChain, и примерно $226 млн в XRP ещё не перемещено. Из других цепочек почти все средства на Solana (приблизительно $87 млн) уже перемешаны или проброшены, а около $124 млн были конвертированы в биткоины. При этом 18 270 BTC (около $1,5 млрд на момент кражи) были распределены по 19 адресам и с тех пор не двигались; девять крупнейших ETH-адресов, держащих 89% эфира злоумышленников, тоже остаются неизменными с 30 октября.
Elliptic подчёркивает, что несмотря на скорость операций и сложность схем, нет убедительных признаков участия AI-агентов — скорее всего, используется традиционная автоматизация. ФБР связывает нападение 29 октября с северокорейской группировкой, которую называет TraderTraitor; в Пхеньяне эти обвинения отвергли. Между тем Binance продолжает восстанавливать сервисы: биржа заявила о возможности пользователям проверить 1:1 покрытие балансов через последнюю zero-knowledge proof снимок proof-of-reserves и планирует открыть снятие средств по всем восстановленным сетям в ближайшие недели.