Hackerii Binance folosesc tactici „nemaiîntâlnite” de spălare crypto

Mii de transferuri indică spălarea automată a banilor

Firma de analiză blockchain Chainalysis a identificat pe 30 octombrie o presupusă spălare automată a banilor, în urma unui furt de pe Binance pe care l-a estimat la 6,4 miliarde de dolari, pe care l-a numit cel mai mare furt de criptomonede înregistrat vreodată. Compania a declarat:

„Anchetatorii noștri observă modele de spălare de bani nemaiîntâlnite până acum în cazul fondurilor furate în urma exploatării Binance.”

Mii de tranzacții efectuate într-o perioadă scurtă de timp sugerează o automatizare menită să ascundă urmele.

Anchetatorii au urmărit transferuri repetate între adrese, inclusiv returnări către portofele utilizate anterior în secvență. Multe adrese au primit inițial exact 1 TRX, tokenul nativ al Tron folosit pentru plata comisioanelor de tranzacție, înainte de a accepta mai multe fonduri și de a redirecționa activele în altă parte. Chainalysis a adăugat: „Această secvență repetată sugerează un proces programat de mutare și redistribuire a fondurilor furate.”

Anchetatorii identifică accesul și o legătură cu Coreea de Nord

Richard Teng, co-CEO al Binance, a dezvăluit puncte suplimentare de breșă și controale de aprobare ocolite, alături de un mecanism de autodistrugere care a distrus instrumentele și urmele. Chainalysis a urmărit ieșirile de fonduri până la ora 16:20, ora Estului, pe 29 octombrie și a identificat un portofel Ethereum alimentat prin Tornado Cash, un mixer de criptomonede care ascunde legăturile dintre depuneri și retrageri. Portofelul respectiv a transmis autorizații valide semnate, sau permisiuni semnate criptografic, permițând unui portofel „hot” Binance să execute software-ul instalat de atacatori și să transfere active către adrese controlate de aceștia.

Modelele de spălare a banilor au sugerat inițial implicarea grupului de criminalitate cibernetică nord-coreean Tradertraitor. Chainalysis a observat apoi că activele furate de pe Binance s-au amestecat cu veniturile obținute din furtul de pe Bitget din septembrie, atribuit anterior unor actori nord-coreeni, consolidând atribuirea atacului cibernetic grupului Tradertraitor. Separat, TRM Labs a atribuit atacul asupra Binance grupului Tradertraitor cu un grad ridicat de încredere, citând informații din lanțul de blocuri și din afara acestuia.

Schimburile de stablecoinuri într-o cursă contra cronometru cu înghețarea activelor

Chainalysis a explicat:

„Înghețarea fondurilor durează. Atacatorul a încercat să devanseze acest proces mutând rapid 500 de milioane de dolari în stablecoin-uri într-un portofel al cărui rol era să schimbe acele active care pot fi înghețate cu active care nu pot fi înghețate.”

Astfel de controale privind înghețarea monedelor stabile și listele negre pot împiedica adresele desemnate să transfere token-urile afectate, în timp ce etherul nativ nu dispune de un mecanism echivalent controlat de emitent.

În aproape 20 de minute, portofelul a schimbat 325 de milioane de dolari în monede stabile pentru aproximativ 285 de milioane de dolari în ether, apoi a transferat restul de 175 de milioane de dolari către portofele intermediare 10 minute mai târziu. Înghețările au început la ora 17:14, ora Estului, pe 29 octombrie, Chainalysis raportând aproximativ 2,8 miliarde de dolari înghețați în raportul său din 30 octombrie. Binance a estimat separat suma totală la aproximativ 3 miliarde de dolari în acea zi.

Bursa a mai declarat că a rezervat peste 6,34 miliarde de dolari din fondurile companiei pentru a acoperi incidentul, excluzând activele înghețate. Din această sumă, 5 miliarde de dolari erau deja deținute în token-uri afectate. Se efectuau achiziții prin intermediul pieței și al canalelor extrabursiere pentru a acoperi activele rămase.