Похищенные у Binance средства прошли через 12 000 кошельков за четыре дня

Средства, похищенные при взломе Binance 29 октября, за менее чем четыре дня прошли через примерно 12 000 кошельков. По оценке компании Elliptic, занимающейся аналитикой блокчейнов, операция охватила 11 блокчейнов, а наличными, вероятно, обналичена лишь небольшая часть средств.

Масштаб отмывания

Elliptic отследила более 40 000 транзакций, совершённых после кражи, на общую сумму, по оценке компании, 6,43 млрд долларов ≈ 19,2 млрд BYN. В разных оценках сумма похищенного составляет от 6,3 до 6,43 млрд долларов. Примерно каждые 25 секунд создавался новый кошелёк. Elliptic заявила: «Отмывание средств носит крайне сложный характер и явно автоматизировано». Фиксированные интервалы, заданные суммы и повторные попытки указывают на обычные программные скрипты. Признаков того, что решения о переводах принимало ПО на базе искусственного интеллекта, компания не нашла.

Chainalysis 30 октября сообщила о повторяющихся схемах: многие адреса-получатели сначала получали ровно 1 TRX, собственную криптовалюту Tron, в качестве комиссии, а затем пересылали более крупные суммы. Такая последовательность указывала на перераспределение поступлений программой. Со-генеральный директор Binance Ричард Тенг в видео от 30 октября сказал, что кража включала дополнительные точки входа и обход механизмов контроля утверждения. Механизм самоуничтожения также удалил инструменты атаки и следы.

Как средства уходили от контроля

Злоумышленник использовал кредитные хранилища протоколов, принимающие депозиты и обрабатывающие выводы, чтобы перемещать средства между адресами без прямого перевода. С 1 ноября начался микширование биткоинов: к раннему утру 2 ноября около 28 BTC на сумму 2,2 млн долларов ≈ 6,58 млн BYN прошли через 18 операций coinjoin, которые объединяют входы и выходы нескольких пользователей в общих транзакциях.

31 октября протокол THORChain приостановил обмен после расхождения в учёте, касавшегося 10 ETH. По словам Chainalysis, этот сбой непреднамеренно задержал отмывание. После возобновления свопов связанные с кражей кошельки продолжили конвертацию украденного в биткоин. По данным Lookonchain, злоумышленники уже переместили около 81% похищенного SOL.

Атрибуция и заморозки

31 октября ФБР связало кражу с группой Tradertraitor, которую считает спонсируемой государством Северной Кореи. Вместе с Секретной службой США и Управлением уголовных расследований IRS ведомство зафиксировало конвертацию средств преимущественно в эфир. Власти призвали биржи, операторов инфраструктуры и сервисы децентрализованных финансов блокировать транзакции с указанными адресами.

По данным Elliptic, на 2 ноября было заморожено 2,85 млрд долларов ≈ 8,53 млрд BYN. У злоумышленника осталось около 1,43 млрд долларов ≈ 4,28 млрд BYN в биткоинах на 40 адресах и 1,37 млрд долларов ≈ 4,10 млрд BYN в эфире на 857 адресах. Ещё 16 млн долларов ≈ 47,9 млн BYN поступили на адреса, связанные со взломом Bitget, что указывает на объединение части средств из двух инцидентов. Обмен одной криптовалюты на другую сам по себе не означает обналичивания. Elliptic ожидает попыток вывести средства через внебиржевых брокеров в течение нескольких месяцев.

Президент Дональд Трамп заявил, что американские власти расследуют атаку на биржу, в результате которой похищено 6,3 млрд долларов ≈ 18,8 млрд BYN, и подтвердил, что биржа заверила в возможности восстановления средств.