Binance-hackgeld in minder dan 4 dagen over 12.000 wallets verspreid

Duizenden wallets verlengen het witwasspoor

De van Binance gestolen crypto-activa werden in minder dan vier dagen via ongeveer 12.000 wallets verspreid over 11 blockchains verplaatst, zo meldde blockchain-analysebedrijf Elliptic op 2 november. De analyse van de witwasoperatie met 12.000 wallets volgde meer dan 40.000 transacties na de diefstal van 6,43 miljard dollar op 29 oktober. Elliptic verklaarde:

"Het witwassen is uiterst complex en duidelijk geautomatiseerd."

Chainalysis had op 30 oktober vermoedelijke geautomatiseerde witwaspatronen geïdentificeerd, waarbij herhaalde overboekingen tussen adressen en terugstortingen naar eerder gebruikte wallets werden waargenomen. Veel ontvangende adressen ontvingen precies 1 TRX, de eigen cryptovaluta van Tron, als transactiekosten voordat ze grotere bedragen accepteerden en doorgaven. Die terugkerende reeks wees erop dat software de opbrengsten herverdeelde.

De diefstal zelf omvatte extra toegangspunten en omzeilde goedkeuringscontroles, zei Richard Teng, mede-CEO van Binance, in een video die op 30 oktober werd gedeeld. Hij beschreef een onderzoek dat verder reikte dan een aanvankelijk verdachte gecompromitteerde laptop. Een zelfvernietigingsmechanisme vernietigde ook aanvalsgereedschappen en sporen, wat het onderzoek van de beurs bemoeilijkte.

Geautomatiseerde overboekingen leiden naar kluizen en het mengen van Bitcoin

Elliptic identificeerde vaste tijdstippen, vaste bedragen en blinde herhalingspogingen. Die patronen wezen op conventionele softwarescripts. Het bedrijf vond geen bewijs dat kunstmatige-intelligentiesoftware beslissingen nam over de overboekingen.

De aanvaller maakte ook gebruik van ‘lending vaults’ – protocolcontracten die stortingen accepteren en opnames verwerken – om vanaf het ene adres te storten en naar andere adressen op te nemen zonder dat er een directe overboeking tussen deze adressen plaatsvond. Het vermengen van bitcoins begon op 1 november, waarbij ongeveer 28 BTC, ter waarde van 2,2 miljoen dollar, begin 2 november via 18 coinjoins waren gegaan. Coinjoins combineren de bitcoin-in- en uitgangen van meerdere gebruikers in gedeelde transacties, waardoor individuele bewegingen moeilijker te traceren zijn.

Pogingen om activa te verplaatsen vielen samen met de noodstop voor swaps van Thorchain. Het protocol, dat het ruilen van cryptovaluta tussen blockchains mogelijk maakt, activeerde veiligheidsmaatregelen na een boekhoudkundige discrepantie waarbij op 31 oktober 10 ETH betrokken was. Chainalysis zei dat de storing onbedoeld het witwassen in verband met de Binance-diefstal vertraagde.

Beurzen staan onder druk om pogingen tot uitbetaling te blokkeren

Het Federal Bureau of Investigation (FBI) schreef de Binance-diefstal op 31 oktober toe aan Noord-Korea en identificeerde de activiteit als Tradertraitor, een door de Noord-Koreaanse staat gesponsorde hackersgroep. In samenwerking met de Amerikaanse Secret Service en de IRS Criminal Investigation constateerde het bureau dat er voornamelijk werd omgezet in ether. De autoriteiten drongen er bij beurzen, infrastructuurexploitanten en gedecentraliseerde financiële diensten op aan om transacties waarbij de genoemde adressen betrokken waren, te blokkeren.

Interventie hangt deels af van de betrokken activa. Door middel van het bevriezen van stablecoins en controles via zwarte lijsten kunnen uitgevers voorkomen dat aangewezen adressen tokens overmaken, zelfs wanneer houders de sleutels van hun wallet beheren. Beurzen kunnen afzonderlijk stortingen beperken of rekeningen bevriezen, wat een extra ingrijpingsmogelijkheid biedt voor cryptovaluta’s waarvoor geen door de uitgever gecontroleerde bevriezingen mogelijk zijn.

De grafiek van Elliptic volgt het traject van de gestolen activa vanaf hun oorspronkelijke vorm op 29 oktober via ruiltransacties, bevriezingen en de resterende bezittingen per 2 november. Hieruit blijkt dat 2,85 miljard dollar is bevroren, terwijl de aanvaller ongeveer 1,43 miljard dollar aan bitcoin op 40 adressen en 1,37 miljard dollar aan ether op 857 adressen in bezit hield. Een afzonderlijk bedrag van 16 miljoen dollar vloeide naar adressen met opbrengsten uit de Bitget-aanval, wat erop wijst dat sommige middelen uit de twee diefstallen werden samengevoegd.

Het omwisselen van de ene cryptovaluta in de andere betekent op zich nog geen uitbetaling. Elliptic schatte dat er op dat moment nog ongeveer 3,24 miljard dollar op de aan de diefstal gekoppelde adressen stond, voornamelijk in ether en bitcoin. Het bedrijf verwachtte dat er in de loop van enkele maanden pogingen zouden worden ondernomen om het geld via OTC-makelaars te verzilveren.