Викрадені з Binance кошти розподілили між 12 000 гаманців за 4 дні

Тисячі гаманців розширюють слід відмивання коштів

Криптоактиви, викрадені з Binance, за менш ніж чотири дні пройшли через приблизно 12 000 гаманців у 11 блокчейнах, повідомила 2 листопада компанія з аналізу блокчейнів Elliptic. В результаті аналізу операції з відмивання коштів через 12 000 гаманців було відстежено понад 40 000 транзакцій після крадіжки 29 жовтня на суму 6,43 млрд доларів. У компанії Elliptic заявили:

«Відмивання коштів є надзвичайно складним і, очевидно, автоматизованим процесом».

30 жовтня компанія Chainalysis виявила підозрілі автоматизовані схеми відмивання коштів, зафіксувавши повторювані перекази між адресами та повернення коштів на гаманці, що використовувалися раніше. Багато адрес-одержувачів отримували рівно 1 TRX — власну криптовалюту Tron — як комісію за транзакцію, перш ніж приймати та пересилати більші суми. Ця повторювана послідовність дій свідчила про те, що програмне забезпечення перерозподіляло викрадені кошти.

Сама крадіжка передбачала використання додаткових точок входу та обхід механізмів контролю затвердження, зазначив співголова Binance Річард Тенг у відео, опублікованому 30 жовтня. Він розповів, що розслідування вийшло за межі початкових підозр щодо зламаного ноутбука. Механізм самознищення також знищив інструменти атаки та сліди, що ускладнило розслідування біржі.

Автоматизовані перекази ведуть до сховищ та змішування біткойнів

Компанія Elliptic виявила фіксовані часові інтервали, встановлені суми та сліпі повторні спроби. Ці закономірності вказували на використання звичайних програмних скриптів. Компанія не знайшла доказів того, що рішення щодо переказів приймалося програмним забезпеченням на основі штучного інтелекту.

Зловмисник також використовував кредитні сховища — протокольні контракти, що приймають депозити та обробляють зняття коштів, — щоб вносити кошти з однієї адреси та знімати їх на інші без прямого переказу між ними. Змішування біткойнів розпочалося 1 листопада: до ранку 2 листопада приблизно 28 BTC на суму 2,2 млн доларів пройшли через 18 операцій coinjoin. Операції coinjoin об’єднують входи та виходи біткойнів декількох користувачів у спільні транзакції, що ускладнює відстеження окремих рухів.

Спроби переміщення активів збіглися з екстреною паузою обміну в Thorchain. Протокол, який дозволяє здійснювати обмін криптовалют між блокчейнами, активував захисні заходи після виявлення розбіжностей у обліку, що стосувалися 10 ETH, 31 жовтня. Chainalysis зазначила, що ця несправність ненавмисно затримала відмивання коштів, пов’язане з крадіжкою з Binance.

Біржі зазнають тиску з метою блокування спроб виведення коштів

31 жовтня Федеральне бюро розслідувань (ФБР) приписало крадіжку з Binance Північній Кореї, ідентифікувавши цю діяльність як Tradertraitor — хакерську групу, що фінансується державою Північної Кореї. Спільно з Секретною службою США та Кримінальним розслідуванням Податкової служби США (IRS) ФБР зафіксувало конвертації переважно в ефір. Влада закликала біржі, операторів інфраструктури та децентралізовані фінансові сервіси блокувати транзакції, пов’язані з зазначеними адресами.

Втручання частково залежить від типу активів. Заморожування стейблкоїнів та контроль за чорними списками дозволяють емітентам запобігати переказуванню токенів з визначених адрес, навіть якщо власники контролюють ключі своїх гаманців. Біржі можуть окремо обмежувати поповнення рахунків або заморожувати рахунки, що створює ще одну точку втручання для криптовалют, які не підлягають заморожуванню з боку емітентів.

На діаграмі компанії Elliptic простежується шлях викрадених активів від їхнього початкового стану 29 жовтня через обміни, заморожування та залишки на рахунках станом на 2 листопада. Згідно з нею, було заморожено 2,85 млрд доларів, тоді як зловмисник зберіг приблизно 1,43 млрд доларів у біткойнах на 40 адресах та 1,37 млрд доларів в ефірі на 857 адресах. Окремі 16 млн доларів надійшли на адреси, що містять кошти, отримані в результаті експлойту Bitget, що вказує на те, що деякі кошти від цих двох крадіжок були об’єднані.

Обмін однієї криптовалюти на іншу сам по собі не означає виведення коштів. За оцінками Elliptic, на момент спостереження на адресах, пов’язаних із крадіжкою, залишалося приблизно 3,24 млрд доларів, переважно в ефірі та біткойнах. Компанія очікувала, що протягом кількох місяців будуть зроблені спроби виведення коштів через позабіржових брокерів.