Hacker, die mit dem Vorfall im Umfeld von Binance in Verbindung gebracht werden, nutzten bisher nicht gesehene Geldwäsche-Muster, um gestohlene Gelder rasch durch Tausende von Transaktionen zu bewegen, so das Blockchain-Analyseunternehmen Chainalysis.

Die Angreifer übertrugen Assets wiederholt zwischen Wallets, darunter auch Rücküberweisungen an Adressen, die bereits in der Transaktionshistorie aufgetaucht waren. Statt die Gelder auf einem geradlinigen Weg von einer Wallet zur anderen zu bewegen, schleusten sie die Assets durch eine komplexe Abfolge von Transaktionen. Geschwindigkeit und Wiederholung dieser Bewegungen deuten darauf hin, dass der Prozess möglicherweise automatisiert war, wie aus Informationen hervorgeht, die Coin Bureau in einem Beitrag auf X geteilt hat.

Wiederholte Wallet-Übertragungen erschweren die Nachverfolgung

Die berichtete Geldwäsche-Aktivität ist vor allem wegen der ungewöhnlichen Struktur der Transaktionen bemerkenswert. Die Gelder wurden nicht einfach entlang einer linearen Kette neu erstellter Adressen bewegt. Stattdessen bewegten die Angreifer die Assets wiederholt zwischen mehreren Wallets und kehrten zu Adressen zurück, die bereits in der Transaktionshistorie aufgetaucht waren.

Chainalysis beschrieb die Aktivität als ein zuvor noch nicht beobachtetes Geldwäsche-Muster. Die schnelle Zirkulation der Gelder durch Tausende von Transaktionen in Kombination mit wiederholten Wallet-Übertragungen deutet auf den Versuch hin, die Verbindung zwischen den ursprünglich gestohlenen Assets und ihren nachfolgenden Zielorten zu verschleiern.

Diese Einordnung ist von Bedeutung, weil Unternehmen wie Chainalysis und Elliptic gestohlene Kryptowährungen zurückverfolgen, indem sie die auf öffentlichen Blockchains aufgezeichnete Aktivität analysieren. Verfolgungsmethoden, die auf bekannten Bewegungsstrukturen beruhen, können auf größere Schwierigkeiten stoßen, wenn Gelder durch Muster kreist werden, die zuvor noch nicht katalogisiert wurden.

Die verfügbaren Informationen belegen jedoch nicht, dass es den Angreifern gelungen ist, alle Gelder zu verbergen oder eine Nachverfolgung unmöglich zu machen. Die Aktivität scheint darauf ausgelegt zu sein, die Blockchain-Analyse zu erschweren, doch allein daraus ergibt sich nicht, dass die Verfolgungsbemühungen überwunden wurden.

Richard Teng beschreibt einen „Selbstzerstörungsmechanismus“

Binance-CEO Richard Teng erklärte, die Angreifer hätten während des Angriffs einen „Selbstzerstörungsmechanismus“ eingesetzt, um Werkzeuge und Spuren zu vernichten. Seine Beschreibung deutet auf den Versuch hin, Beweise im Zusammenhang mit dem Angriff zu beseitigen – unabhängig von der späteren Bewegung der gestohlenen Assets über mehrere Wallet-Adressen.

Der berichtete Mechanismus und die ungewöhnlichen Transaktionsmuster stellen zwei getrennte Aspekte des Vorfalls dar. Der erste betrifft die Vernichtung von Werkzeugen und Spuren während des Angriffs, der zweite die schnelle Bewegung der Gelder nach dem Diebstahl.

Erste Erkenntnisse zeigen geringe Nutzung von Mixern und Börsen

Erste Erkenntnisse des Blockchain-Analyseunternehmens Elliptic ergaben, dass fast keine der gestohlenen Gelder Mixer, Bridges oder Börsen erreicht haben. Diese Beobachtung macht die wiederholten Wallet-zu-Wallet-Übertragungen besonders bemerkenswert: Die Gelder wurden durch ungewöhnliche Transaktionsmuster zirkuliert, statt der Routen zu folgen, die üblicherweise mit diesen Diensten in Verbindung gebracht werden.

Die Angreifer tauschten zudem schnell finanzell einfrierbare Stablecoins in Assets wie ETH und übertrugen Gelder zwischen Adressen, bevor Blacklist-Updates – eine gängige Maßnahme, bei der Börsen und Stablecoin-Herausgeber bekannte belastete Adressen sperren – greifen konnten. Nach Informationen von Coin Bureau waren diese Bemühungen nur teilweise erfolgreich.

Die Kombination aus wiederholten Wallet-Übertragungen, schnellen Asset-Tauschgeschäften und Versuchen, Gelder vor Blacklist-Updates zu bewegen, veranschaulicht die berichtete Komplexität der Geldwäsche-Aktivität. Die Identifizierung bisher unbekannter Muster durch Chainalysis und die frühen Erkenntnisse von Elliptic bieten getrennte Perspektiven darauf, wie mit den gestohlenen Assets verfahren wurde. Das nächste aussagekräftige Signal wird sein, wo die Gelder auftauchen: Weitere Updates von Chainalysis, Elliptic oder Binance zu den Zielorten der Assets würden zeigen, ob das Muster die Nachverfolgung letztlich erschwerte und ob ein Teil der Gelder die Mixer, Bridges oder Börsen erreicht, die sie bislang weitgehend gemieden haben.

Quelle: Hokanews