После кражи деньги не исчезли. Расследователи следят за тем, как они меняют форму

Новый срез движения средств

В обновлении от 4 ноября Elliptic описывает около 12 тысяч кошельков и более 40 тысяч транзакций за первые три с половиной дня после атаки. Компания также сообщает о значительных перемещениях SOL 3–4 ноября. Поэтому прежняя картина, в которой крупные остатки просто лежат неподвижно, уже не описывает все направления движения средств. Это наблюдения аналитиков на конкретный момент, а не окончательный баланс расследования.

TRM Labs обращает внимание на сложность самого отслеживания. Стоимость может переходить между адресами через обмены, пулы ликвидности и токены, представляющие право на внесённые активы. Если смотреть только переводы одного исходного токена, часть связей останется незамеченной. Отсутствие прямого перевода между двумя кошельками ещё не означает отсутствия экономической связи.

Адрес — ещё не имя

Но видимость движения средств не равна установлению личности каждого человека за адресами. ФБР официально отнесло атаку к КНДР и активности TraderTraitor. В уведомлении от 31 октября нет имён непосредственных исполнителей или сообщения об их задержании.

Не стоит торопиться и с образом автономного «ИИ-хакера». Elliptic считает движение средств явно автоматизированным, но не видит в наблюдаемых данных доказательства, что решения принимает ИИ-агент.

Три разных события

В этой части расследования редакция будет различать три события: средства обнаружены, распоряжение ими ограничено, средства возвращены. Сообщение об одном из них не позволяет дописать два остальных.