Хакери Binance застосовують небачені методи відмивання криптовалюти

Тисячі переказів вказують на автоматизоване відмивання коштів

30 жовтня компанія Chainalysis, що займається аналітикою блокчейну, виявила підозру на автоматизоване відмивання коштів після крадіжки з Binance, яку вона оцінила в 6,4 млрд доларів і назвала найбільшою крадіжкою криптовалюти за всю історію. Компанія заявила:

«Наші слідчі спостерігають безпрецедентні схеми відмивання коштів, викрадених у результаті атаки на Binance».

Тисячі транзакцій за короткий проміжок часу вказують на автоматизацію, спрямовану на приховування слідів.

Слідчі відстежили повторювані перекази між адресами, включаючи повернення коштів на гаманці, які використовувалися раніше в цій послідовності. Багато адрес спочатку отримували рівно 1 TRX — власний токен Tron, який використовується для оплати комісій за транзакції, — а потім приймали додаткові кошти та переказували активи в інші місця. Chainalysis додала: «Ця повторювана послідовність вказує на програмний процес переміщення та перерозподілу вкрадених коштів».

Слідчі відстежують доступ та зв’язок із Північною Кореєю

Співголова Binance Річард Тенг повідомив про додаткові точки проникнення та обхід механізмів контролю затвердження, а також про механізм самознищення, який знищував інструменти та сліди. Chainalysis відстежила відтоки коштів до приблизно 16:20 за східним часом 29 жовтня та виявила гаманець Ethereum, поповнений через Tornado Cash — сервіс змішування криптовалют, що приховує зв’язки між вкладами та зняттями коштів. Цей гаманець надав дійсні підписані авторизації, або криптографічно підписані дозволи, що дозволило «гарячому» гаманцю Binance запускати програмне забезпечення, розгорнуте зловмисниками, та переказувати активи на адреси, контрольовані зловмисниками.

Схеми відмивання коштів спочатку вказували на причетність Tradertraitor — північнокорейської кіберзлочинної групи. Потім Chainalysis зафіксувала змішування викрадених активів Binance з доходами від крадіжки на Bitget у вересні, яку раніше приписували північнокорейським зловмисникам, що підкріпило припущення про причетність Tradertraitor до цього злому. Окремо компанія TRM Labs з високим ступенем впевненості приписала атаку на Binance групі Tradertraitor, посилаючись на дані з ланцюга блоків та поза ним.

Обмін стейблкоїнів — гонка проти заморожування активів

Chainalysis пояснила:

«Заморожування коштів займає час. Зловмисник намагався випередити цей процес, швидко перемістивши 500 мільйонів доларів у стабільних монетах у гаманець, завданням якого було обміняти ці активи, що підлягають заморожуванню, на активи, які не підлягають заморожуванню».

Такі заходи щодо заморожування стейблкоінів та внесення до чорного списку можуть запобігти переказуванню відповідних токенів з визначених адрес, тоді як для нативного ефіру не існує аналогічного механізму, контрольованого емітентом.

Протягом майже 20 хвилин гаманець обміняв 325 мільйонів доларів у стабільних монетах на приблизно 285 мільйонів доларів в ефірі, а потім, через 10 хвилин, перевів решту 175 мільйонів доларів на проміжні гаманці. Заморожування почалося о 17:14 за східним часом 29 жовтня, при цьому Chainalysis повідомила про замороження близько 2,8 млрд доларів у своєму звіті від 30 жовтня. Binance окремо оцінила загальну суму того дня приблизно в 3 млрд доларів.

Біржа також повідомила, що зарезервувала понад 6,34 млрд доларів з коштів компанії для покриття збитків, пов’язаних з інцидентом, не враховуючи заморожені активи. З цієї суми 5 млрд доларів вже було вкладено в токени, що зазнали впливу інциденту. Для покриття решти активів тривали операції з купівлі через ринкові та позабіржові канали.