По оценке следователей Chainalysis, взлом Binance на сумму $6,4 млрд — крупнейшая кража криптовалюты в истории и одно из крупнейших финансовых преступлений — был осуществлён группой TraderTraitor, северокорейским киберпреступным объединением. TraderTraitor неоднократно атаковал криптобиржи, DeFi-протоколы и инвесторов с целью финансирования режима.
Эта оценка основана на ончейн-активности, зафиксированной в течение нескольких часов после взлома.
Первичное проникновение и гонка злоумышленника со временем
Средства начали выводиться из горячих кошельков Binance в разных блокчейнах примерно в 16:20 по восточному времени 29 октября. В сети Ethereum злоумышленник действовал с кошелька, пополненного через Tornado Cash, и отправил действительные подписанные разрешения, позволившие горячему кошельку Binance выполнить внедрённый злоумышленником код. Затем злоумышленник вызвал этот кошелек, чтобы перевести его средства на принадлежащие ему адреса, в то время как другие пострадавшие кошельки Binance, по-видимому, переводили средства с помощью обычных подписанных транзакций. Несанкционированные переводы по затронутым блокчейнам составили около $6,4 млрд.
Перед злоумышленником встал временной лимит. Пока миллиарды долларов в незамораживаемых криптовалютах, таких как Bitcoin и Ethereum, находились под его контролем, ещё большие суммы были в стейблкоинах, таких как USDT и USDC, которые эмитенты могут замораживать. Было неизбежно, что эмитенты стейблкоинов заморозят эти активы — в координации с правоохранительными органами и отраслевыми партнёрами, включая Chainalysis.
Поскольку на заморозку требуется время, злоумышленник попытался опередить этот процесс, стремительно переведя $500 млн в стейблкоинах на кошелёк, предназначенный для обмена замораживаемых активов на незамораживаемые. За почти 20 минут он обменял $325 млн в стейблкоинах на $285 млн в ETH. Через десять минут после этого эксплуататор отправил оставшиеся $175 млн в стейблкоинах на промежуточные кошельки. Однако уже в 17:14 по восточному времени 29 октября начались заморозки.
Через несколько блокчейнов следователи Chainalysis, правоохранительные органы, эмитенты стейблкоинов и другие отраслевые участники соревновались с злоумышленником, пытаясь заморозить украденные средства до их конвертации в активы вне досягаемости эмитентов. Значительная часть этих усилий происходила независимо, параллельно друг другу. Chainalysis проактивно делился следственными наводками с отраслевыми партнёрами для выявления и заморозки похищенных активов. На данный момент заморожено около $2,8 млрд похищенных средств.
Прямая ончейн-связь с TraderTraitor через эксплойт Bitget
Ряд схем отмывания изначально указывал на TraderTraitor как виновника кражи из Binance. Наиболее убедительные доказательства появились, когда следователи Chainalysis в реальном времени обнаружили смешивание украденных с Binance средств со средствами, похищенными в прошлом месяце в результате эксплойта Bitget, который был приписан северокорейским злоумышленникам. Эта прямая ончейн-связь усилила уверенность в том, что за взломом Binance стоит именно TraderTraitor, и Chainalysis объявил об этой связи 30 октября в 00:30 по восточному времени.
Автоматизированное отмывание затрудняет отслеживание средств
По мере того как следователи Chainalysis продолжают отслеживание украденных с Binance средств, они фиксируют ранее не встречавшиеся схемы отмывания. Тысячи транзакций за короткое время указывают на то, что злоумышленники используют автоматизацию для сокрытия следов. Вместо простого перевода средств дальше, они многократно циркулируют их между адресами, часто возвращая средства на адреса, ранее участвовавшие в цепочке.
Многие адреса следуют одному и тому же паттерну: сначала получают ровно 1 TRX, затем дополнительные средства, после чего отправляют активы на другие адреса. Эта повторяющаяся последовательность указывает на программный характер перераспределения и движения похищенных средств.
Продолжающееся расследование и реакция отрасли
Расследование продолжается, и Chainalysis ожидает, что движение похищенных средств будет продолжаться в ближайшие дни. Chainalysis остаётся на стороне Binance и всей отрасли, помогая следователям отслеживать похищенные активы, препятствовать дальнейшему отмыванию и минимизировать дополнительные потери.
Клиенты Chainalysis могут использовать решения компании для выявления экспозиции к адресам, связанным с этим инцидентом. Chainalysis продолжит мониторинг движения средств и обновлять метки по мере появления новых данных.
Источник: www.chainalysis.com