Что произошло
Ончейн-исследователь ZachXBT 2 ноября 2026 года предупредил в своём Telegram-канале: организация из Евросоюза, предположительно, потеряла более $106 млн с нескольких аккаунтов на централизованных биржах. Вывод средств случился 1 ноября, деньги ушли в стейблкоинах USDC и USDT. 3 ноября он поднял оценку до более чем $133 млн. Пострадавший не назван и сам ничего не сообщал.
Детали
- Откуда новая сумма. ZachXBT нашёл ещё более $27 млн выводов с бирж, связанных с тем же злоумышленником. Часть из них прошла уже после его первого предупреждения.
- Кто жертва — версия, а не факт. По его рабочей гипотезе, взломано крупное финансовое учреждение в Западной Европе, которое скрывает инцидент. Доказательств и названия он не привёл, биржи тоже не названы.
- Наша проверка. По обозревателю Blockscout, на 15 адресов из списков ZachXBT 1–2 ноября 2026 года пришло около $108,6 млн в USDC в сети Ethereum, траншами по $5–10 млн. Порядок совпадает с его оценкой.
- Как отмывают. Похититель менял USDC на ETH, отправлял средства в сервисы мгновенного обмена WellWallet и Kyrrex, конвертировал в приватную монету Monero (XMR) через Wagyu и перебрасывал между блокчейнами мостами.
- Не Lazarus. Исполнитель не установлен, но, по словам ZachXBT, признаки отмывания «с высокой степенью уверенности» исключают северокорейскую Lazarus Group.
Что это значит
Прямо это касается клиентов бирж с крупными корпоративными счетами: судя по описанию, взломали не сами биржи, а доступ к аккаунтам одной организации. Главная цифра риска — более $30 млн, которые, по оценке ZachXBT, успели отмыть из-за отсутствия раскрытия, хотя правоохранители ЕС могли бы их заморозить. Стейблкоины замораживаются, пока лежат на известном адресе; после обмена на ETH и тем более на Monero след теряется. Горизонт — ближайшие дни: либо организация или надзор подтвердят инцидент, либо сумма так и останется оценкой одного исследователя.
Совет частному держателю тот же, что и в любом подобном случае: белый список адресов для вывода и аппаратный ключ двухфакторной защиты на биржевом аккаунте. И ещё одно: в истории этих адресов уже видны поддельные токены «USDC» — это атака подменой адреса, копировать адреса из таких списков стоит только из первоисточника.
Контекст
ZachXBT — один из самых цитируемых ончейн-сыщиков. Как он под видом клиента вскрыл синдикат, отмывавший деньги Lazarus, мы писали в новости «ZachXBT внедрился в синдикат, отмывавший деньги Lazarus».
