Что подтвердила сама Kraken
В ответе изданию Cointelegraph представители Kraken заявили, что изучают сообщения о движении части активов через аккаунты на бирже. Связанные аккаунты ограничены, компания сотрудничает с правоохранительными органами для возможного возврата средств. Kraken отдельно подчеркнула, что инцидент не начался на её платформе, системы безопасности не были взломаны, а клиентские аккаунты не были захвачены в результате взлома биржи.
Эти слова не означают, что $133 млн уже заблокированы или возвращены. Kraken не назвала число ограниченных аккаунтов и стоимость удерживаемых на них активов. Crypto.com также сообщила Cointelegraph о мерах по блокировке связанных средств; OKX на момент публикации первоначального сообщения проверяла ситуацию. Реакция площадок подтверждает расследование подозрительных потоков, но не устанавливает окончательную причину их появления.
Откуда взялась сумма более $133 млн
Исследователь ZachXBT сначала сообщил о выводах на сумму свыше $106 млн из аккаунтов на централизованных биржах. На следующий день он добавил ещё около $27 млн обнаруженных выводов и повысил оценку предполагаемых потерь до более чем $133 млн. Версия о пострадавшей западноевропейской финансовой организации принадлежит исследователю; на момент исходного сообщения организация публично не подтвердила ни ущерб, ни обстоятельства инцидента.
Поэтому число в заголовках следует читать как оценку предполагаемого эпизода, а не как сумму, украденную непосредственно у Kraken. Важно различать три вещи: выводы из биржевых аккаунтов, последующее движение средств по блокчейну и доказанный ущерб конкретного владельца. Публичных данных пока недостаточно, чтобы приравнять их друг к другу.
Что показывает независимый ончейн-разбор
Bitquery проследила $108,80 млн в USDC, выведенных 1-2 ноября с аккаунтов Kraken, Crypto.com и OKX на 15 адресов в сети Ethereum. Одиннадцать из этих адресов уже получали выплаты с тех же площадок. Это наблюдение допускает несколько объяснений, включая доступ злоумышленника как к биржевым аккаунтам, так и к ранее использовавшимся кошелькам; само по себе оно не доказывает способ компрометации.
По данным Bitquery, примерно $62,98 млн стейблкоинов были конвертированы в ETH через UniswapX за несколько часов. На срезе 3 ноября, 13:27 UTC, исследователи насчитали около $61 млн в связанных адресах на Ethereum и обнаружили перевод 396 ETH на депозитный адрес Kraken. Биржа может установить владельца такого депозитного аккаунта, но публичный ончейн-анализ не показывает, кто это и относятся ли средства к уже ограниченным аккаунтам.
Что остаётся неизвестным
Bitquery анализировала Ethereum и основные кошельки трёх бирж, а не все сети и площадки. Её подтверждённый в этом наборе транзакций объём $108,80 млн не покрывает всю оценку ZachXBT свыше $133 млн. Компания также не смогла по блокчейну назвать владельца средств или установить, как именно был получен доступ. Версию о личности пострадавшего нужно проверять отдельно по официальному раскрытию, которого в исходном расследовании не было.
Для клиентов Kraken главное различие состоит в том, что ограничение конкретных связанных аккаунтов не равнозначно взлому инфраструктуры биржи или массовой блокировке пользователей. При этом сам эпизод напоминает о риске, когда доступ к биржевому аккаунту и ключи от адресов вывода хранятся вместе. Раздельное хранение ключей, контроль списка разрешённых адресов и задержка добавления нового адреса могут снизить такой риск, но не заменяют расследование причин этого случая.
