Fondi Binance hackerati: distribuiti in 4 giorni su 12.000 wallet

Migliaia di portafogli allungano la traccia del riciclaggio

Le criptovalute rubate da Binance sono passate attraverso circa 12.000 portafogli su 11 blockchain in meno di quattro giorni, secondo quanto riportato il 2 novembre dalla società di analisi blockchain Elliptic. La sua analisi dell’operazione di riciclaggio che ha coinvolto 12.000 portafogli ha tracciato oltre 40.000 transazioni successive al furto di 6,43 miliardi di dollari avvenuto il 29 ottobre. Elliptic ha dichiarato:

«Il riciclaggio è estremamente complesso e chiaramente automatizzato».

Chainalysis aveva individuato il 30 ottobre presunti schemi di riciclaggio automatizzato, osservando trasferimenti ripetuti tra indirizzi e ritorni verso portafogli utilizzati in precedenza. Molti indirizzi destinatari ricevevano esattamente 1 TRX, la criptovaluta nativa di Tron, a titolo di commissioni di transazione prima di accettare e inoltrare saldi più consistenti. Tale sequenza ricorrente suggeriva che un software stesse ridistribuendo i proventi.

Il furto stesso ha coinvolto ulteriori punti di accesso e ha aggirato i controlli di approvazione, ha affermato il co-CEO di Binance Richard Teng in un video condiviso il 30 ottobre. Ha descritto un’indagine che si estende oltre il laptop inizialmente sospettato di essere stato compromesso. Un meccanismo di autodistruzione ha inoltre distrutto gli strumenti di attacco e le tracce, complicando l’indagine dell’exchange.

I trasferimenti automatizzati conducono ai vault e al mixing di Bitcoin

Elliptic ha identificato tempistiche fisse, importi prestabiliti e tentativi di ripetizione automatici. Tali schemi indicavano l’utilizzo di script software convenzionali. L’azienda non ha trovato prove che un software di intelligenza artificiale stesse prendendo decisioni in merito ai trasferimenti.

L’autore dell’attacco ha inoltre utilizzato i “lending vault”, contratti di protocollo che accettano depositi ed elaborano prelievi, per effettuare depositi da un indirizzo e prelievi verso altri senza un trasferimento diretto tra di essi. Il mixing di Bitcoin è iniziato il 1° novembre, con circa 28 BTC, del valore di 2,2 milioni di dollari, che sono passati attraverso 18 coinjoin entro la mattina del 2 novembre. I coinjoin combinano gli input e gli output di Bitcoin di più utenti in transazioni condivise, rendendo più difficile tracciare i movimenti individuali.

I tentativi di spostare gli asset hanno coinciso con la sospensione d’emergenza degli swap da parte di Thorchain. Il protocollo, che consente lo scambio di criptovalute tra blockchain, ha attivato delle misure di sicurezza in seguito a una discrepanza contabile riguardante 10 ETH il 31 ottobre. Chainalysis ha affermato che il malfunzionamento ha inavvertitamente ritardato il riciclaggio legato al furto su Binance.

Gli exchange subiscono pressioni per bloccare i tentativi di prelievo

Il 31 ottobre l’FBI (Federal Bureau of Investigation) ha attribuito il furto da Binance alla Corea del Nord, identificando l’attività come opera di Tradertraitor, un gruppo di hacker sponsorizzato dallo Stato nordcoreano. In collaborazione con il Servizio Segreto degli Stati Uniti e l’IRS Criminal Investigation, ha osservato conversioni principalmente in ether. Le autorità hanno esortato gli exchange, gli operatori di infrastrutture e i servizi di finanza decentralizzata a bloccare le transazioni che coinvolgono gli indirizzi indicati. L’intervento dipende in parte dagli asset coinvolti. Il congelamento delle stablecoin e i controlli tramite blacklist consentono agli emittenti di impedire agli indirizzi designati di trasferire token anche quando i titolari controllano le chiavi dei propri portafogli. Le piattaforme di scambio possono limitare separatamente i depositi o congelare i conti, fornendo un ulteriore punto di intervento per le criptovalute che non prevedono congelamenti controllati dall’emittente. Il grafico di Elliptic traccia il percorso delle risorse rubate dalla loro forma originale il 29 ottobre attraverso scambi, congelamenti e saldi residui al 2 novembre. Esso mostra 2,85 miliardi di dollari congelati, mentre l’autore dell’attacco ha trattenuto circa 1,43 miliardi di dollari in bitcoin distribuiti su 40 indirizzi e 1,37 miliardi di dollari in ether distribuiti su 857 indirizzi. Un importo separato di 16 milioni di dollari è confluito in indirizzi contenenti i proventi dell’exploit di Bitget, indicando che alcuni fondi provenienti dai due furti sono stati combinati.

La conversione di una criptovaluta in un’altra non costituisce di per sé un prelievo di liquidità. Elliptic ha stimato che, al momento dell’osservazione, negli indirizzi collegati al furto rimanessero circa 3,24 miliardi di dollari, principalmente in ether e bitcoin. Si prevedevano eventuali tentativi di prelievo tramite broker over-the-counter nel corso di diversi mesi.