Взломали впс и выкачали 30 терабайт трафика, куда он ушел?

Собственно сабж, стоял впс для тестов и пароль был что-то вроде тест123, ибо было влом вводить сложный пароль в командной строке. VPS был взломан буквально сразу CPU MEM и трафик вылезли в максималку, прошло 7 дней я этого не замечал, хотя проводил тесты на VPS и не видел высокого потребления в top(странно). сейчас увидел в панели управления сервером высокие показатели и максимально быстро сделал rebuild, и только потом подумал что стоило глянуть куда шел трафик. в top'e висели процессы типа kjhkjashdkjhaskdjhaksjhd 99 CPU.
стало интересно, куда шел трафик и вообще что происходило с сервером? трафика набежало на 15 евро, которые теперь платить мне)