Elliptic: skradzione bitcoiny i XRP z Binance w obiegu, 3,1 mld $ nieprane

W analizie zaktualizowanej w piątek firma Elliptic ujawniła, że od czwartku po południu z portfeli powiązanych z atakiem z 29 października przetransferowano około 42 milionów XRP o wartości 50 milionów dolarów. Większość tych środków została zamieniona na bitcoiny za pośrednictwem protokołu wymiany międzyłańcuchowej THORChain, w wyniku czego w posiadaniu hakerów pozostało około 192 milionów XRP o wartości 226 milionów dolarów.

Najnowsze transakcje spowodowały, że ilość skradzionej kryptowaluty zamienionej na bitcoiny wzrosła do około 1 650 BTC, o wartości 124 milionów dolarów według stanu na piątek rano. Łączna kwota ta wzrosła niemal dwukrotnie w porównaniu z poprzednim dniem, przy czym znaczna część tego wzrostu wynikała z XRP.

Pomimo nasilającej się aktywności firma Elliptic oszacowała, że na adresach powiązanych z kradzieżą pozostaje 3,11 mld dolarów, głównie w bitcoinach i etherze. Pierwotne 18 270 BTC skradzionych z Binance, których wartość wynosiła wówczas około 1,4 miliarda dolarów, nie zmieniło lokalizacji od momentu rozdzielenia między 19 portfeli wkrótce po ataku.

Największe zasoby etheru również pozostają nienaruszone. Firma Elliptic oszacowała, że jedynie około 3 mln dolarów z około 1,33 mld dolarów skradzionego ETH zostało przeniesione przez kanały prania pieniędzy, podczas gdy dziewięć największych portfeli ETH pozostaje nieaktywnych od 30 października.

Wyniki te oznaczają nowy etap w działaniach hakerów mających na celu ukrycie skradzionych aktywów. Jak wcześniej informował serwis Bitcoin.com News, 2 listopada atakujący przelali wszystkie 233,46 mln skradzionych XRP do sześciu nowych portfeli po tym, jak środki pozostawały w stanie uśpienia przez około 80 godzin. Dwa z tych portfeli rozpoczęły w czwartek rozdzielanie XRP na dziesiątki dodatkowych adresów, a znaczna część kryptowaluty została następnie wymieniona na bitcoiny.

Aktywa Solany również znalazły się w centrum operacji prania pieniędzy. Firma Elliptic ustaliła, że praktycznie cała skradziona ilość SOL, warta około 87 milionów dolarów według aktualnych cen, została już wymieniona, przeniesiona między łańcuchami bloków lub wymieszana za pomocą usług zapewniających prywatność. Znaczna część tej zamienionej wartości ostatecznie trafiła do portfeli bitcoinowych.

Badacze zidentyfikowali również około 2,5 miliona dolarów w bitcoinach przetworzonych za pomocą transakcji typu coinjoin w stylu Wasabi, które łączą monety od wielu użytkowników w celu utrudnienia śledzenia w łańcuchu bloków. Kolejne 1,1 miliona dolarów w skradzionych ETH i SOL trafiło do protokołu Privacy Cash począwszy od 3 listopada, co skłoniło serwis do tymczasowego zawieszenia wpłat przy jednoczesnym wzmocnieniu procedur weryfikacyjnych.

Od czasu włamania sieć prania pieniędzy znacznie się rozrosła. Firma Elliptic zidentyfikowała obecnie ponad 20 000 portfeli w 16 łańcuchach bloków, obejmujących co najmniej 36 usług i 65 000 transakcji. Serwis Bitcoin.com News poinformował w poniedziałek, że na tym etapie operacja obejmowała około 12 000 portfeli i 40 000 transakcji.

Tydzień po ataku na Binance

Z pierwotnej kwoty 6,43 mld dolarów, która została skradziona, około 2,85 mld dolarów zostało zamrożonych lub zajętych, głównie dzięki interwencji emitentów stablecoinów. Firma Elliptic uważa, że tylko znikoma część została faktycznie zamieniona na środki, którymi można dysponować. Przenoszenie aktywów między portfelami lub wymiana jednej kryptowaluty na inną niekoniecznie oznacza, że środki zostały pomyślnie spieniężone.

FBI przypisało ten atak północnokoreańskiej operacji hakerskiej o nazwie „TraderTraitor”, chociaż Pjongjang zaprzeczył swojej odpowiedzialności.

Binance ujawniło we wtorek, że do naruszenia doszło w wyniku trwającej kilka miesięcy kampanii obejmującej złośliwe oprogramowanie deweloperskie, fałszywe rozmowy kwalifikacyjne oraz przejęte wewnętrzne narzędzia sztucznej inteligencji. Atakującym ostatecznie udało się uzyskać dostęp do infrastruktury podpisującej portfele i przeprowadzić nieautoryzowane transakcje w wielu łańcuchach bloków.

Firma Elliptic spodziewa się, że pozostałe zasoby etheru będą stopniowo zamieniane na bitcoiny, a następnie pojawią się próby wymiany tej kryptowaluty na pieniądze tradycyjne za pośrednictwem brokerów pozagiełdowych i platform handlowych.

Firma odniosła się do włamania do Bybit z lutego 2025 r. – poprzedniego rekordowego skoku kryptowalutowego, w którym skradziono około 1,5 mld dolarów – kiedy to północnokoreańscy atakujący zamienili około 499 000 skradzionych ETH w ciągu 10 dni, podczas gdy proces wypłacania środków trwał kilka miesięcy.

Na razie większość środków z Binance pozostaje możliwa do śledzenia, co daje giełdom i śledczym dodatkowe możliwości zidentyfikowania i potencjalnego przechwycenia środków, zanim zostaną one zamienione na gotówkę, którą można wykorzystać.