Похищенные при взломе Binance средства ушли на 12 000 кошельков за 4 дня

Тысячи кошельков удлиняют след отмывания средств

Криптоактивы, похищенные с Binance, за менее чем четыре дня прошли через примерно 12 000 кошельков в 11 блокчейнах, сообщила 2 ноября компания Elliptic, занимающаяся аналитикой блокчейнов. В ходе анализа операции по отмыванию средств с использованием 12 000 кошельков было отслежено более 40 000 транзакций, совершенных после кражи 29 октября на сумму 6,43 млрд долларов. В Elliptic заявили:

«Отмывание средств носит крайне сложный характер и явно автоматизировано».

30 октября компания Chainalysis выявила подозрительные схемы автоматизированного отмывания средств, отметив повторяющиеся переводы между адресами и возвраты средств на кошельки, использовавшиеся ранее. Многие адреса-получатели сначала получали ровно 1 TRX — собственную криптовалюту Tron — в качестве комиссии за транзакцию, а уже после этого принимали и пересылали более крупные суммы. Такая повторяющаяся последовательность действий позволяла предположить, что программное обеспечение занималось перераспределением поступлений.

Сама кража включала дополнительные точки входа и обход механизмов контроля утверждения, как сообщил со-генеральный директор Binance Ричард Тенг в видео, опубликованном 30 октября. Он описал расследование, выходящее за рамки первоначально подозреваемого взломанного ноутбука. Механизм самоуничтожения также уничтожил инструменты атаки и следы, что затруднило расследование биржи.

Автоматические переводы ведут к хранилищам и микшерам биткойнов

Компания Elliptic выявила фиксированные временные интервалы, заданные суммы и «слепые» повторные попытки. Эти паттерны указывали на использование обычных программных скриптов. Компания не обнаружила доказательств того, что решения о переводах принималось программным обеспечением на базе искусственного интеллекта.

Злоумышленник также использовал кредитные хранилища — контракты протокола, которые принимают депозиты и обрабатывают выводы средств, — чтобы вносить средства с одного адреса и выводить на другие без прямого перевода между ними. Смешивание биткойнов началось 1 ноября: к раннему утру 2 ноября примерно 28 BTC на сумму 2,2 млн долларов прошли через 18 операций coinjoin. Операции coinjoin объединяют входы и выходы биткойнов нескольких пользователей в общие транзакции, что затрудняет отслеживание отдельных движений.

Попытки переместить активы совпали с экстренной приостановкой обмена в Thorchain. Протокол, позволяющий осуществлять обмен криптовалют между блокчейнами, активировал меры безопасности после обнаружения расхождения в учете, касающегося 10 ETH, 31 октября. Chainalysis сообщила, что сбой в работе непреднамеренно задержал отмывание средств, связанное с кражей на Binance.

Биржи сталкиваются с давлением, требующим блокировать попытки вывода средств

31 октября Федеральное бюро расследований (ФБР) приписало кражу с Binance Северной Корее, идентифицировав эту деятельность как Tradertraitor — хакерскую группу, спонсируемую северокорейским государством. В сотрудничестве с Секретной службой США и Управлением уголовных расследований Налогового управления США (IRS) ФБР зафиксировало конвертацию средств преимущественно в эфир. Власти призвали биржи, операторов инфраструктуры и сервисы децентрализованных финансов блокировать транзакции с участием указанных адресов.

Возможность вмешательства частично зависит от типа задействованных активов. Замораживание стейблкоинов и механизмы черных списков позволяют эмитентам предотвращать перевод токенов с указанных адресов даже в тех случаях, когда владельцы контролируют ключи от своих кошельков. Биржи могут отдельно ограничивать пополнение счетов или замораживать счета, что предоставляет ещё одну точку вмешательства для криптовалют, не подпадающих под контроль эмитентов.

На графике компании Elliptic прослеживается путь похищенных активов от их первоначального состояния 29 октября через обмены, заморозки и остатки на счетах по состоянию на 2 ноября. Из неё следует, что 2,85 млрд долларов были заморожены, в то время как злоумышленник сохранил за собой примерно 1,43 млрд долларов в биткойнах на 40 адресах и 1,37 млрд долларов в эфире на 857 адресах. Отдельная сумма в 16 млн долларов поступила на адреса, содержащие доходы от взлома Bitget, что указывает на объединение части средств, похищенных в ходе обоих инцидентов.

Обмен одной криптовалюты на другую сам по себе не означает обналичивания средств. По оценкам Elliptic, на момент наблюдения на адресах, связанных с кражей, оставалось примерно 3,24 млрд долларов, в основном в эфире и биткоине. Ожидается, что в течение нескольких месяцев будут предприняты попытки обналичивания средств через внебиржевых брокеров.