Бот выводит средства, похищенные у Binance, через Jupiter и dYdX

По данным ончейн-исследователя SomaXBT, кошелёк злоумышленника за короткое время перевёл крупные суммы через сети Tron и Solana. По его подсчётам, 47 644 транзакции прошли за три дня, и около 54% операций выполнил бот. Остальные действия, по его оценке, выполнял человек, и его роль была небольшой, но решающей.

Исходная публикация называет общий ущерб в $6,36 млрд ≈ 19,0 млрд BYN. Однако в самом тексте перечислены суммы порядка миллионов долларов, а крупнейшая из них — 234 млн USDT в сети Tron. Итоговый объём ущерба из материала установить не получается, поэтому мы его не называем.

Как средства шли через Jupiter и dYdX

В Solana злоумышленник отправил 31 976 SOL в залог в Jupiter Lend, а затем вывел часть залога и продал SOL. По данным SomaXBT, 27 060 SOL были проданы за 2,486 млн USDC в 18 сделках через Jupiter RFQ, а затем 2,397 млн USDC ушли через Circle в сеть Noble и дальше на dYdX.

Вывод занял несколько часов. С 04:37 до 08:09 по московскому времени первые переводы прошли в 05:18. Следующие шли так быстро, что почти каждый блок содержал новую транзакцию, а после каждой сделки USDC отправлялся в Solana на 16–123 секунды.

Почему заморозка не успевает

По словам SomaXBT, отдельные адреса, через которые проходили средства, принадлежат сервисам, проводящим обмены. Он отметил, что Jupiter, Circle, Noble и dYdX сами по себе не участвовали в краже. Схема опирается на то, что каждое звено работает автоматически и без ручной проверки, поэтому заморозка активов запаздывает относительно перевода.

Представители Jupiter, Circle, Noble и dYdX в исходной публикации не комментировались. Расследование ФБР связывает кражу с Binance с группой TraderTraitor, которую, по данным того же расследования, поддерживает КНДР. Сестра лидера КНДР Ким Е Чжон назвала такие обвинения «политической провокацией».