Киберпреступники начали использовать генеративные ИИ-модели для автоматического поиска состоятельных владельцев криптовалют, сообщили исследователи Cisco Talos. Вредоносная программа VOLTA-AUTODOXER собирает с зараженных Windows-устройств ключевые данные: seed-фразы криптокошельков, пароли из браузера, платёжные реквизиты, токены аутентификации, почтовые логины и активные сессии Telegram, Discord, Steam и Roblox. Затем собранная информация передаётся внешним ИИ-сервисам через OpenRouter.
По данным Talos, сначала вредонос отправляет данные модели Anthropic Claude Opus 4.6; при отказе переключается на Moonshot AI Kimi K2, а затем на Google Gemini 2.5 Flash. ИИ оценивает финансовое положение жертвы, выявляет ценные активы и слабые места в защите, что позволяет атакующим ранжировать украденные учётные данные по потенциальной доходности. Дополнительно VOLTA изучает почту Outlook, Gmail и рабочие пространства Slack, ищет подтверждения покупок на Amazon, PayPal, Walmart, DoorDash и Uber Eats, чтобы составить детальный профиль жертвы.
Параллельно Binance начала поэтапное восстановление вывода средств после взлома на $6,3 млрд. По заявлению биржи, вывод уже работает в 15 сетях, включая Bitcoin, Ethereum, XRP Ledger, Solana, BNB Smart Chain, Dogecoin, Avalanche, Sui, Polygon, Arbitrum и Zcash, а также для USDT и USDC. Binance сообщила, что восстановлено или возвращено около 95% пострадавших активов, и направила более $6,34 млрд собственных средств на покрытие убытков.
Между тем аналитики Elliptic не нашли доказательств того, что отмыванием украденных средств управляют автономные ИИ-агенты. По их оценке, северокорейские хакеры переместили похищенные активы через более 40 000 транзакций и около 12 000 кошельков менее чем за четыре дня. В сети Tron зафиксировано около 32 000 переводов, пиковая нагрузка достигала 1300 транзакций в час. Паттерны — фиксированные интервалы, повторяющиеся суммы и повторные попытки неудавшихся переводов — указывают на обычную автоматизацию под контролем человека, а не на самостоятельные решения ИИ.
Elliptic оценивает, что заморожено или изъято около $2,85 млрд, или 44% украденных активов; примерно $3,24 млрд оставались на связанных с атакой адресах на 2 ноября, преимущественно в BTC и ETH. Tether и Circle заблокировали украденные USDT и USDC, однако примерно $786 млн в стейблкоинах хакеры успели конвертировать до заморозки. Arbitrum через экстренное вмешательство заморозил $30,5 млн. Злоумышленники использовали как минимум семь кроссчейн-мостов, децентрализованный протокол JustLend и уже провели первые биткоин-микширования: около 28 BTC на сумму $2,2 млн прошли через 18 CoinJoin-транзакций. В Elliptic ожидают, что хакеры продолжат конвертировать ETH в BTC и попытаются вывести средства через централизованные биржи и OTC-площадки в течение нескольких месяцев. Мониторинг компании связывает с кражей уже более 9500 адресов.
