Tiền bị đánh cắp trong vụ tấn công Binance phân tán vào 12.000 ví

Hàng nghìn ví mở rộng dấu vết rửa tiền

Các tài sản tiền điện tử bị đánh cắp từ Binance đã được chuyển qua khoảng 12.000 ví trên 11 chuỗi khối trong vòng chưa đầy bốn ngày, công ty phân tích chuỗi khối Elliptic báo cáo vào ngày 2 tháng 11. Phân tích của công ty về hoạt động rửa tiền qua 12.000 ví đã theo dõi hơn 40.000 giao dịch sau vụ trộm 6,43 tỷ USD vào ngày 29 tháng 10. Elliptic cho biết:

"Hoạt động rửa tiền này rất phức tạp và rõ ràng là được tự động hóa."

Chainalysis đã xác định các mẫu rửa tiền tự động nghi vấn vào ngày 30/10, quan sát thấy các giao dịch chuyển tiền lặp đi lặp lại giữa các địa chỉ và việc quay trở lại các ví đã được sử dụng trước đó. Nhiều địa chỉ nhận đã nhận chính xác 1 TRX, đồng tiền điện tử gốc của Tron, làm phí giao dịch trước khi chấp nhận và chuyển tiếp các số dư lớn hơn. Chuỗi hành động lặp lại này cho thấy phần mềm đang phân phối lại số tiền thu được.

Vụ trộm này liên quan đến các điểm xâm nhập bổ sung và đã vượt qua các biện pháp kiểm soát phê duyệt, đồng CEO của Binance, Richard Teng, cho biết trong một video được chia sẻ vào ngày 30/10. Ông mô tả cuộc điều tra đã mở rộng ra ngoài chiếc máy tính xách tay bị nghi ngờ bị xâm nhập ban đầu. Một cơ chế tự hủy cũng đã phá hủy các công cụ tấn công và dấu vết, khiến cuộc điều tra của sàn giao dịch trở nên phức tạp hơn.

Các giao dịch tự động dẫn đến các kho tiền và hoạt động trộn Bitcoin

Elliptic đã xác định được thời gian cố định, số tiền cố định và các lần thử lại ngẫu nhiên. Những mẫu này cho thấy đây là các kịch bản phần mềm thông thường. Công ty không tìm thấy bằng chứng nào cho thấy phần mềm trí tuệ nhân tạo đang đưa ra quyết định về các giao dịch chuyển tiền.

Kẻ tấn công cũng sử dụng các kho cho vay, các hợp đồng giao thức chấp nhận tiền gửi và xử lý việc rút tiền, để gửi tiền từ một địa chỉ và rút tiền sang các địa chỉ khác mà không cần chuyển khoản trực tiếp giữa chúng. Quá trình trộn Bitcoin bắt đầu vào ngày 1 tháng 11, với khoảng 28 BTC, trị giá 2,2 triệu USD, đã đi qua 18 giao dịch coinjoin vào đầu ngày 2 tháng 11. Các giao dịch coinjoin kết hợp các đầu vào và đầu ra Bitcoin của nhiều người dùng trong các giao dịch chung, khiến việc theo dõi các chuyển động riêng lẻ trở nên khó khăn hơn.

Các nỗ lực chuyển tài sản đã trùng với thời điểm Thorchain tạm dừng hoán đổi khẩn cấp. Giao thức này, cho phép hoán đổi tiền điện tử giữa các blockchain, đã kích hoạt các biện pháp bảo vệ sau khi phát hiện sự chênh lệch sổ sách liên quan đến 10 ETH vào ngày 31 tháng 10. Chainalysis cho biết sự cố này đã vô tình làm trì hoãn quá trình rửa tiền liên quan đến vụ trộm trên Binance.

Các sàn giao dịch đối mặt với áp lực phải chặn các nỗ lực rút tiền mặt

Cục Điều tra Liên bang (FBI) đã quy trách nhiệm vụ trộm cắp tại Binance cho Triều Tiên vào ngày 31 tháng 10, xác định hoạt động này do Tradertraitor – một nhóm hacker được nhà nước Triều Tiên tài trợ – thực hiện. Phối hợp với Cục Mật vụ Hoa Kỳ và Cục Điều tra Hình sự của Cục Thuế (IRS), FBI đã ghi nhận các giao dịch chuyển đổi chủ yếu sang ether. Các cơ quan chức năng đã kêu gọi các sàn giao dịch, nhà điều hành hạ tầng và các dịch vụ tài chính phi tập trung (DeFi) chặn các giao dịch liên quan đến các địa chỉ được liệt kê.

Việc can thiệp phụ thuộc một phần vào loại tài sản liên quan. Các biện pháp đóng băng stablecoin và đưa vào danh sách đen cho phép các nhà phát hành ngăn chặn các địa chỉ được chỉ định chuyển token ngay cả khi chủ sở hữu kiểm soát khóa ví của họ. Các sàn giao dịch có thể riêng biệt hạn chế việc nạp tiền hoặc đóng băng tài khoản, tạo ra một điểm can thiệp khác đối với các loại tiền điện tử không có cơ chế đóng băng do nhà phát hành kiểm soát.

Biểu đồ của Elliptic theo dõi hành trình của các tài sản bị đánh cắp từ dạng ban đầu vào ngày 29 tháng 10 qua các giao dịch hoán đổi, đóng băng và số dư còn lại tính đến ngày 2 tháng 11. Biểu đồ cho thấy 2,85 tỷ USD đã bị đóng băng, trong khi kẻ tấn công vẫn giữ khoảng 1,43 tỷ USD bitcoin tại 40 địa chỉ và 1,37 tỷ USD ether tại 857 địa chỉ. Một khoản riêng biệt trị giá 16 triệu USD đã chảy vào các địa chỉ chứa tiền thu được từ vụ khai thác lỗ hổng trên Bitget, cho thấy một phần tiền từ hai vụ trộm đã được gộp lại.

Việc đổi một loại tiền điện tử sang loại khác bản thân nó không phải là hành vi rút tiền mặt. Elliptic ước tính rằng vào thời điểm quan sát, vẫn còn khoảng 3,24 tỷ USD trong các địa chỉ liên quan đến vụ trộm, chủ yếu là ether và bitcoin. Công ty dự đoán sẽ có những nỗ lực rút tiền mặt thông qua các nhà môi giới ngoài sàn trong vài tháng tới.