Hackers da Binance usam táticas inéditas para lavar criptomoedas

Milhares de transferências apontam para lavagem automatizada

A empresa de análise de blockchain Chainalysis identificou uma suspeita de lavagem automatizada em 30 de outubro, após um roubo na Binance estimado em US$ 6,4 bilhões, que foi considerado o maior roubo de criptomoedas já registrado. A empresa declarou:

“Nossos investigadores estão observando padrões de lavagem nunca antes vistos com os fundos roubados na exploração da Binance.”

Milhares de transações em um curto período sugeriram automação com o objetivo de ocultar o rastro.

Os investigadores rastrearam transferências repetidas entre endereços, incluindo devoluções para carteiras usadas anteriormente na sequência. Muitos endereços receberam inicialmente exatamente 1 TRX, o token nativo da Tron usado para pagar taxas de transação, antes de aceitar mais fundos e encaminhar os ativos para outros locais. A Chainalysis acrescentou: “Essa sequência repetida sugere um processo programático para movimentar e redistribuir os fundos roubados.”

Investigadores rastreiam o acesso e uma conexão com a Coreia do Norte

O co-CEO da Binance, Richard Teng, revelou pontos adicionais de violação e controles de aprovação contornados, além de um mecanismo de autodestruição que destruiu ferramentas e rastros. A Chainalysis rastreou as saídas de fundos até por volta das 16h20, horário da Costa Leste, em 29 de outubro, e identificou uma carteira Ethereum financiada por meio do Tornado Cash, um misturador de criptomoedas que oculta as ligações entre depósitos e saques. Essa carteira apresentou autorizações válidas e assinadas, ou permissões assinadas criptograficamente, permitindo que uma carteira quente da Binance executasse um software implantado pelos invasores e transferisse ativos para endereços controlados por eles.

Os padrões de lavagem de dinheiro sugeriram inicialmente o envolvimento do Tradertraitor, um grupo de cibercrime norte-coreano. A Chainalysis observou então que os ativos roubados da Binance se misturavam com os rendimentos do roubo à Bitget ocorrido em setembro, anteriormente atribuído a agentes norte-coreanos, reforçando sua atribuição do ataque ao Tradertraitor. Separadamente, a TRM Labs atribuiu o ataque à Binance ao Tradertraitor com alto grau de confiança, citando inteligência on-chain e off-chain.

Trocas de stablecoins correm contra o congelamento de ativos

A Chainalysis explicou:

“O congelamento de fundos leva tempo. O invasor tentou se antecipar a esse processo transferindo rapidamente US$ 500 milhões em stablecoins para uma carteira cuja função era trocar esses ativos passíveis de congelamento por ativos não passíveis de congelamento.”

Esses controles de congelamento e lista negra de stablecoins podem impedir que endereços designados transfiram tokens afetados, enquanto o ether nativo não possui um mecanismo equivalente controlado pelo emissor.

Ao longo de quase 20 minutos, a carteira trocou US$ 325 milhões em stablecoins por aproximadamente US$ 285 milhões em ether e, 10 minutos depois, transferiu os US$ 175 milhões restantes para carteiras intermediárias. Os congelamentos começaram às 17h14, horário da Costa Leste, em 29 de outubro, com a Chainalysis relatando cerca de US$ 2,8 bilhões congelados em sua conta de 30 de outubro. A Binance, por sua vez, estimou o total em aproximadamente US$ 3 bilhões naquele dia.

A corretora também informou ter reservado mais de US$ 6,34 bilhões em fundos da empresa para cobrir o incidente, excluindo os ativos congelados. Desse montante, US$ 5 bilhões já estavam retidos em tokens afetados. Estavam em andamento compras por meio de canais de mercado e de balcão para cobrir os ativos restantes.