Dziwny zwrot w sprawie włamania do Binance z KRLD na 6,3 mld USD

Monety memowe utrudniają śledzenie śladów włamania do Binance

Północnokoreańscy przestępcy zajmujący się praniem pieniędzy wykorzystywali memowe monety i mało znane tokeny na platformach Tron, Solana i Near – wyjaśnił 9 listopada współzałożyciel i główny naukowiec firmy Elliptic, Tom Robinson. W przypadku Tron i Near chodziło o nowo utworzone monety, natomiast Solana opierała się na istniejących aktywach.

Robinson napisał:

„Większość ludzi postrzega tokeny memowe jako żartobliwe monety, których ceny rosną i spadają w zależności od szumu medialnego. Prawi przemycający z Korei Północnej znaleźli dla nich inne zastosowanie, tworząc tokeny, których nikt inny nie chce kupić, i wykorzystując je do ukrycia przepływu skradzionych środków”.

W sieci Near jedna z grup kupiła nowe monety za skradzioną kryptowalutę za pośrednictwem pul płynności tokenów. Inne portfele sprzedawały monety do tych samych pul i uzyskiwały niemal identyczne wpływy, rozdzielając adresy nadawcze i odbiorcze.

Sześć tokenów utworzonych między 5 a 7 listopada obsłużyło około 117 000 NEAR (430 000 USD), przy niemal zerowym obrocie zewnętrznym. Każde wprowadzenie na rynek kosztowało około 90 USD. Pięciu twórców otrzymało finansowanie z wcześniejszych sprzedaży tokenów na krótko przed wprowadzeniem zamienników.

Federalne Biuro Śledcze (FBI) 31 października przypisało kradzież z platformy Binance w zeszłym miesiącu Korei Północnej, identyfikując operację jako „Tradertraitor” – sponsorowaną przez państwo północnokoreańską grupę atakującą firmy z branży kryptowalut.

Jednak 3 listopada Korea Północna zaprzeczyła, jakoby była odpowiedzialna za ten atak hakerski. Kim Yo-jong, siostra przywódcy Korei Północnej Kim Jong Una, nazwała oskarżenia FBI „poważną prowokacją polityczną” mającą na celu zaszkodzenie reputacji kraju.

Kradzież z Binance wywołała wyścig z czasem przed zamrożeniem środków

Firma Chainalysis ustaliła, że skradzione aktywa z ataku na Binance z 29 października zostały połączone z zyskami pochodzącymi z kradzieży na platformie Bitget we wrześniu. Firma powołała się na to nakładanie się środków, przypisując kradzież na Binance grupie „Tradertraitor”. Jej ocena opierała się na aktywności w łańcuchu bloków obserwowanej w ciągu kilku godzin po ataku.

Atakujący próbował uniknąć zamrożenia środków poprzez szybką konwersję na stablecoiny, wymieniając w ciągu prawie 20 minut środki o wartości 325 mln dolarów na około 285 mln dolarów w etherze. W przypadku etheru nie ma możliwości zamrożenia środków przez emitenta, jak ma to miejsce w przypadku stablecoinów.

2 listopada firma Elliptic zidentyfikowała bezwartościowy token Tron stworzony wyłącznie w celu prania pieniędzy, a następnego dnia skradzione środki w Solanie przepływały przez tokeny o niewielkim obrocie. Elliptic wcześniej wyśledziła co najmniej 24 mln dolarów przepływających w ramach podobnego schematu po kradzieży z platformy Bybit w 2025 roku.

Wyjaśniając podejście warstwowe, Robinson stwierdził:

„Osoby zajmujące się praniem brudnych pieniędzy w Korei Północnej rzadko polegają na jednej technice. Zamiast tego łączą wiele tanich technik, z których każda powoduje nieco większe opóźnienie. Domowe tokeny memowe to po prostu kolejna warstwa”.

Tysiące portfeli prowadzi do bitcoina

Do 2 listopada skradzione aktywa przeszły przez około 12 000 portfeli w 11 łańcuchach bloków. Stałe czasy wykonania i ślepe ponawianie nieudanych operacji bez korekty wskazywały na konwencjonalną automatyzację. Firma Elliptic nie znalazła żadnych dowodów na decyzje kierowane przez sztuczną inteligencję.

W aktualizacji z 7 listopada odnotowano ponad 20 000 portfeli, 16 łańcuchów bloków i co najmniej 65 000 transakcji. Firma Elliptic prześledziła konwersje aktywów, w tym solany, XRP i tronu, na około 2 300 bitcoinów, których wartość wynosiła wówczas 175 milionów dolarów.

Wpływy z konwersji osiągnęły około 3 000 bitcoinów, o wartości 225 milionów dolarów na dzień 9 listopada. Firma Elliptic prześledziła również przepływ około 7 000 etherów (o wartości około 15 milionów dolarów) do serwisu Tornado Cash – miksera umożliwiającego wypłacanie zgromadzonych środków na różne adresy. Firma oszacowała, że prawdopodobnie wypłacono jedynie znikomą kwotę.

W kwestii narażenia związanego z pulami handlowymi główny naukowiec firmy Elliptic ostrzegł:

„Portfela, który otrzymał środki z puli płynności, nie należy domyślnie traktować jako czystego, ponieważ może on znajdować się zaledwie dwa etapy od środków pochodzących z kradzieży”.