Gestolen Bitcoin en XRP van Binance circuleren, $3,1 mrd nog niet witgewassen: Elliptic

In een analyse die vrijdag is bijgewerkt, onthulde Elliptic dat sinds donderdagmiddag ongeveer 42 miljoen XRP, ter waarde van 50 miljoen dollar, was verplaatst vanuit wallets die verband hielden met de hack van 29 oktober. Het grootste deel van dat geld werd via het cross-chain-uitwisselingsprotocol THORChain omgezet in bitcoin, waardoor er nog ongeveer 192 miljoen XRP ter waarde van 226 miljoen dollar in het bezit van de hackers bleef.

Door de meest recente transacties is de hoeveelheid gestolen cryptovaluta die in bitcoin is omgezet opgelopen tot ongeveer 1.650 BTC, met een waarde van 124 miljoen dollar op vrijdagochtend. Dat totaal is ten opzichte van de dag ervoor bijna verdubbeld, waarbij XRP een groot deel van de stijging voor zijn rekening nam.

Ondanks de toenemende activiteit schat Elliptic dat er nog 3,11 miljard dollar op adressen staat die verband houden met de diefstal, voornamelijk in bitcoin en ether. De oorspronkelijke 18.270 BTC die van Binance werd gestolen, destijds geschat op ongeveer 1,4 miljard dollar, is niet verplaatst sinds deze kort na de aanval over 19 wallets werd verdeeld.

Ook de grootste ether-bezittingen blijven onaangeroerd. Elliptic schatte dat slechts ongeveer 3 miljoen dollar van de ongeveer 1,33 miljard dollar aan gestolen ETH via witwaskanalen was verplaatst, terwijl de negen grootste ETH-wallets sinds 30 oktober inactief zijn gebleven.

De bevindingen markeren een nieuwe fase in de pogingen van de hackers om de gestolen activa te verbergen. Zoals Bitcoin.com News eerder meldde, hebben de aanvallers op 2 november alle 233,46 miljoen gestolen XRP overgeboekt naar zes nieuwe wallets, nadat het geld ongeveer 80 uur stil had gelegen. Twee van die wallets zijn donderdag begonnen met het verdelen van XRP over tientallen extra adressen, waarbij een groot deel van de cryptovaluta vervolgens werd omgewisseld voor bitcoin.

Ook Solana-activa stonden centraal in de witwasoperatie. Elliptic ontdekte dat vrijwel alle gestolen SOL, met een waarde van ongeveer 87 miljoen dollar tegen de huidige koersen, inmiddels is omgewisseld, overgedragen tussen blockchains of gemengd via privacydiensten. Een groot deel van de omgezette waarde kwam uiteindelijk terecht in bitcoin-wallets.

De onderzoekers identificeerden ook ongeveer 2,5 miljoen dollar aan bitcoin die was verwerkt via „Wasabi-achtige“ coinjoin-transacties, waarbij munten van meerdere gebruikers worden gecombineerd om het volgen via de blockchain te bemoeilijken. Nog eens 1,1 miljoen dollar aan gestolen ETH en SOL kwam vanaf 3 november het Privacy Cash-protocol binnen, wat de dienst ertoe aanzette stortingen tijdelijk op te schorten en tegelijkertijd zijn screeningprocedures aan te scherpen.

Het witwasnetwerk is sinds de inbreuk drastisch uitgebreid. Elliptic heeft inmiddels meer dan 20.000 wallets geïdentificeerd verspreid over 16 blockchains, waarbij ten minste 36 diensten en 65.000 transacties betrokken zijn. Bitcoin.com News meldde maandag dat de operatie in dat stadium betrekking had op ongeveer 12.000 wallets en 40.000 transacties.

Een week na de Binance-hack

Van de oorspronkelijk gestolen 6,43 miljard dollar is ongeveer 2,85 miljard dollar bevroren of in beslag genomen, grotendeels door tussenkomst van uitgevers van stablecoins. Elliptic is van mening dat slechts een verwaarloosbaar bedrag daadwerkelijk is omgezet in besteedbare middelen. Het verplaatsen van activa tussen wallets of het inwisselen van de ene cryptovaluta voor de andere betekent niet noodzakelijkerwijs dat de opbrengsten met succes zijn verzilverd.

De FBI heeft de aanval toegeschreven aan de Noord-Koreaanse hackoperatie „TraderTraitor“, hoewel Pyongyang elke verantwoordelijkheid heeft ontkend.

Binance maakte dinsdag bekend dat de inbreuk het gevolg was van een maandenlange campagne waarbij kwaadaardige ontwikkelaarssoftware, frauduleuze sollicitatiegesprekken en gecompromitteerde interne kunstmatige-intelligentietools werden ingezet. De aanvallers kregen uiteindelijk toegang tot de infrastructuur voor het ondertekenen van wallets en voerden ongeautoriseerde transacties uit op talrijke blockchains.

Elliptic verwacht dat de resterende ether-bezittingen geleidelijk zullen worden omgezet in bitcoin, gevolgd door pogingen om de cryptovaluta in te wisselen voor conventioneel geld via OTC-makelaars en handelsplatforms.

Het bedrijf trok een vergelijking met de Bybit-hack van februari 2025 – de vorige recordroof van cryptovaluta waarbij ongeveer 1,5 miljard dollar werd buitgemaakt – toen Noord-Koreaanse aanvallers binnen 10 dagen ongeveer 499.000 gestolen ETH omzetten, terwijl het proces van het verzilveren zich over meerdere maanden uitstrekte.

Voorlopig blijft het grootste deel van de opbrengsten van Binance traceerbaar, wat beurzen en onderzoekers extra mogelijkheden biedt om de gelden te identificeren en mogelijk te onderscheppen voordat ze kunnen worden omgezet in bruikbaar contant geld.