Хакеры Binance применяют новые методы отмывания криптовалюты

Тысячи переводов указывают на автоматизированное отмывание

30 октября компания Chainalysis, занимающаяся аналитикой блокчейна, выявила подозрительные признаки автоматизированного отмывания средств после кражи на Binance, сумма которой, по оценкам компании, составила 6,4 млрд долларов. Компания назвала это событие крупнейшей кражей криптовалюты за всю историю. Компания заявила:

«Наши следователи наблюдают невиданные ранее схемы отмывания средств, похищенных в результате атаки на Binance».

Тысячи транзакций, совершенных за короткий период, указывают на автоматизацию, направленную на запутывание следов.

Следователи отследили повторяющиеся переводы между адресами, в том числе возвраты средств на кошельки, использовавшиеся ранее в этой цепочке. Многие адреса сначала получали ровно 1 TRX — собственный токен Tron, используемый для оплаты комиссий за транзакции, — а затем принимали дополнительные средства и пересылали активы в другие места. Chainalysis добавила: «Эта повторяющаяся последовательность указывает на программный процесс перемещения и перераспределения похищенных средств».

Следователи отслеживают доступ и связь с Северной Кореей

Со-генеральный директор Binance Ричард Тенг раскрыл дополнительные точки взлома и обходные пути в системе контроля одобрений, а также механизм самоуничтожения, который уничтожал инструменты и следы. Chainalysis отследила отток средств до примерно 16:20 по восточному времени 29 октября и выявила кошелек Ethereum, пополненный через Tornado Cash — криптовалютный миксер, который скрывает связи между поступлениями и выводами средств. Этот кошелек предоставил действительные подписанные авторизации, или криптографически подписанные разрешения, что позволило «горячему» кошельку Binance запустить программное обеспечение, развернутое злоумышленниками, и перевести активы на адреса, контролируемые злоумышленниками.

Схемы отмывания средств изначально указывали на причастность Tradertraitor — северокорейской киберпреступной группировки. Затем Chainalysis обнаружила, что похищенные активы Binance смешались с доходами от сентябрьского ограбления Bitget, которое ранее приписывалось северокорейским злоумышленникам, что укрепило предположение о причастности Tradertraitor к данному взлому. Кроме того, TRM Labs с высокой степенью уверенности приписала атаку на Binance группе Tradertraitor, сославшись на данные, полученные как в цепочке блоков, так и за ее пределами.

Обмен стабильных монет — гонка против заморозки активов

Chainalysis пояснила:

«Замораживание средств требует времени. Злоумышленник попытался опередить этот процесс, быстро переместив 500 миллионов долларов в стабильных монетах в кошелек, задача которого заключалась в обмене этих подлежащих замораживанию активов на активы, которые не подлежат замораживанию».

Такие меры по замораживанию стейблкоинов и внесению в черный список позволяют предотвратить перевод затронутых токенов с указанных адресов, в то время как у нативного эфира нет аналогичного механизма, контролируемого эмитентом.

В течение почти 20 минут кошелек обменял 325 млн долларов в стабильных монетах на примерно 285 млн долларов в эфире, а через 10 минут перевел оставшиеся 175 млн долларов на промежуточные кошельки. Замораживание началось в 17:14 по восточному времени 29 октября; по данным Chainalysis, на 30 октября в системе было заморожено около 2,8 млрд долларов. Binance отдельно оценила общую сумму в тот день примерно в 3 млрд долларов.

Биржа также сообщила, что зарезервировала более 6,34 млрд долларов из средств компании для покрытия убытков, связанных с инцидентом, не включая замороженные активы. Из этой суммы 5 млрд долларов уже были вложены в затронутые инцидентом токены. Для покрытия остальных активов велись покупки через биржевые и внебиржевые каналы.