Die Angreifer hinter dem 6,3 Milliarden Dollar schweren Binance-Exploit haben rund 81 % der 970.522 gestohlenen SOL transferiert und die Erlöse über THORChain gewaschen, nachdem das Cross-Chain-Protokoll am Mittwoch den Handel wieder aufgenommen hatte. Mit dem Hack in Verbindung gebrachte Wallets halten noch 182.443 SOL (16,9 Millionen Dollar), was 18,8 % der Beute entspricht, laut Arkham-Daten, die von Lookonchain zitiert werden.
Wichtigste Erkenntnisse
- Hacker bewegten 81 % von 970.522 gestohlenen SOL (6,3 Mrd. $ Gesamthack) über THORChain, nachdem das Protokoll am Mittwoch Swaps wieder aufnahm.
- FBI schrieb Angriff Nordkoreas TraderTraitor-Gruppe zu; forderte THORNode-Betreiber auf, illegale Flüsse zu blockieren.
- 182.443 SOL (16,9 Mio. $, 18,8 % der Beute) verbleiben in Hacker-Wallets laut Arkham-Daten.
- Binance füllte 98 % der Nutzer-Token wieder auf; verzeichnete 2,3 Mrd. $ Nettozuflüsse nach Hack.
- THORChain-Stopp (Samstag–Mittwoch) wegen Ethereum-Reorg-Bug unterbrach Wäsche vorübergehend.
Executive Intelligence Brief
Waschmechanik und die Rolle von THORChain
Der Blockchain-Ermittler Lookonchain berichtete am Mittwoch, dass die Angreifer die SOL auf mehrere Wallets aufteilten, sie für USDC verkauften, nach Ethereum bridgten, um Ether zu kaufen, und schließlich ETH über THORChain in Bitcoin (BTC) tauschten. Dieses Cross-Chain-Routing nutzt die native Asset-Swap-Funktionalität von THORChain, die nicht auf Wrapped Tokens angewiesen ist, was die Nachverfolgung und das Einfrieren für Compliance-Teams erschwert.
Die Waschaktivität wurde versehentlich am Wochenende verzögert, als THORChain die Dienste am Samstag einstellte. Eine Ethereum-Block-Reorganisation deckte einen Refund-Bug auf, was das Protokoll veranlasste, den Handel auf Bitcoin, Ethereum und mehreren anderen Chains zu pausieren. Chainalysis bestätigte, dass der Stopp den Fluss der Hacker ins Stocken brachte. Die Dienste wurden am Mittwoch wieder aufgenommen und öffneten den primären Waschplatz erneut.
Zuschreibung und Reaktion der Strafverfolgung
Das US Federal Bureau of Investigation schrieb den Angriff am Samstag Nordkoreas TraderTraitor-Hackergruppe zu und forderte Krypto-Dienstleister – einschließlich THORNode-Betreiber – auf, Transaktionen zu blockieren, die mit den gestohlenen Vermögenswerten in Verbindung stehen. Nordkorea wies die Vorwürfe zurück; Kim Yo Jong, Schwester von Machthaber Kim Jong Un, nannte die Anschuldigungen 'absurde Rhetorik'. TraderTraitor wird auch verdächtigt, THORChain zur Wäsche der Erlöse aus dem 1,4 Milliarden Dollar schweren Bybit-Hack genutzt zu haben.
Binance-Sanierung und Marktauswirkungen
Binance erklärte am Dienstag, 98 % der betroffenen Nutzer-Token wieder aufgefüllt zu haben und die verbleibenden Verluste zu absorbieren. Die Börse führte den Bruch auf kompromittierte Mitarbeitergeräte zurück, die durch gefälschte Vorstellungsgespräche und bösartige Software-Downloads infiltriert wurden. Separate verzeichnete Binance 2,3 Milliarden Dollar an Nettozuflüssen, was auf zurückkehrendes Nutzervertrauen trotz des historischen Bruchs hindeutet. Chainalysis schätzte, dass rund 500 Millionen Dollar an Gesamtwert während des Waschprozesses über das Tron-Netzwerk bewegt wurden, wobei Ermittler SomaXBT schätzte, dass 54 % der über 47.600 Transaktionen der Angreifer auf Tron und Solana automatisiert waren.
Ausblick: Node-Compliance und Restrisiko
Die kritische Variable ist, ob THORNode-Betreiber – die Cross-Chain-Swaps validieren und ausführen – der FBI-Aufforderung nachkommen, illegale Ströme zu filtern. Das dezentrale Governance-Modell von THORChain erschwert die Durchsetzung; keine einzelne Entität kann Transaktionen einseitig zensieren ohne Konsens. Die verbleibenden 182.443 SOL (16,9 Millionen Dollar) in hackerkontrollierten Wallets stellen die unmittelbare Restexposition dar. Marktteilnehmer sollten On-Chain-Flüsse auf weitere Bridging nach Ethereum und BTC-Konvertierung sowie jegliche regulatorische Leitlinien, die auf THORChains Validator-Set abzielen, überwachen.
