Un'indagine dell'2 novembre della società di analisi blockchain Bitquery ha tracciato circa 108,8 milioni di dollari in USDC in uscita da conti di tre exchange di criptovalute, seguendo fondi segnalati dall'investitore on-chain ZachXBT come sospetto furto a danno di una entità con sede nell'UE, come riportato in un post dell'account X Officer's Notes. L'indagine di Bitquery ha rilevato che 11 dei 15 wallet destinatari avevano ricevuto payout dagli stessi exchange prima dell'1 novembre, che 62,98 milioni di dollari in stablecoin sono stati convertiti in 27.553 ETH, e che solo 3,7 milioni di dollari dei fondi rimanevano in USDC congelabile.

Ventun ore attraverso tre exchange

Il primo prelievo è uscito da OKX alle 12:25 UTC dell'1 novembre. Kraken è seguita 44 minuti dopo e ha finito per pagare il 95% del totale, con Crypto.com che ha fornito il resto insieme a OKX. Circa due terzi del denaro, 73,2 milioni di dollari, sono usciti nelle tre ore fino alle 23:00 UTC, e l'ultimo pagamento è arrivato alle 09:09 UTC del mattino successivo.

Un wallet ha ricevuto 43 prelievi da Kraken in 91 minuti, ciascuno al di sotto di 50.000 dollari. Bitquery interpreta lo schema come un tentativo del ladro di aggirare un limite sui singoli prelievi, una salvaguardia standard sui conti degli exchange. Se questa lettura è corretta, il tetto ha cambiato la forma dell' flusso in uscita senza ridurne l'entità.

Nessuno di questi importi è una perdita confermata dalla vittima. Bitquery ha analizzato solo Ethereum e ha controllato i wallet principali dei tre exchange, quindi attività su altre chain o tramite altri wallet degli stessi exchange potrebbe aggiungersi al conteggio. La vittima non è stata nominata, anche se lo storico dei wallet rimanda a un'attività di trading o pagamenti che utilizza Kraken da maggio — un'interpretazione che Bitquery dichiara di mantenere con cautela.

Perché i vecchi wallet indicano oltre il login dell'exchange

Undici dei 15 wallet destinatari avevano ricevuto payout dagli stessi exchange prima dell'1 novembre e insieme hanno ricevuto l'84% del denaro. Il più datato ha effettuato il primo prelievo da Kraken il 4 maggio e ne ha ricevuti altri 48 prima del furto. Diversi wallet si sono inviati fondi a vicenda durante l'estate. Otto dei 15 sono smart account Trust Wallet configurati per pagare le commissioni di rete in USDC — così la commissione viene detratta dal saldo del token anziché in ETH — sebbene Bitquery non abbia trovato nulla che indicasse un difetto dell'app stessa.

Questo storico è il motivo per cui Bitquery considera i wallet come di proprietà della vittima, e spiega perché il solo login dell'exchange non spiega quanto successo dopo. L'USDC in genere passava a un wallet nuovo entro tre minuti, e l'invio oltre richiedeva le chiavi del wallet destinatario. Bitquery conclude che il ladro molto probabilmente possedeva sia le credenziali di accesso sia quelle chiavi. Nella sua lettura, ciò indica o un'intrusione nei dispositivi del proprietario o nella configurazione del wallet, oppure qualcuno all'interno del team della vittima. La chain non permette di distinguere i due casi.

L'attribuzione della proprietà resta un'inferenza dal comportamento dei wallet, e né la vittima né gli exchange l'hanno confermata. Se alcuni di quegli indirizzi appartenessero a un dipendente, un appaltatore o una controparte, i payout precedenti dimostrerebbero che l'entità si fidava di una persona, non che le proprie chiavi siano trapelate. In ogni caso, nulla nella traccia mostra una violazione di Kraken, Crypto.com o OKX. I prelievi provengono dai conti di un solo cliente.

Dove una allowlist regge e dove cede

Una allowlist permette a un conto di prelevare solo verso indirizzi approvati in anticipo. La traccia divide questo furto in due casi, che mettono alla prova quell'impostazione in modo diverso.

Gli 11 wallet familiari rappresentano il caso che una allowlist non può affrontare. Se erano già approvati, i trasferimenti verso di loro supererebbero il controllo, perché l'impostazione limita l'indirizzo e non dice nulla su chi ne detenga oggi le chiavi.

I quattro wallet nuovi, che hanno ricevuto 17,27 milioni di dollari, sono il caso opposto. I primi pagamenti sia da OKX che da Kraken sono andati a indirizzi senza precedenti. Come lo esprime Bitquery, se i conti usavano una allowlist, il ladro è riuscito ad aggiungervi indirizzi; se non ne avevano, il denaro poteva andare ovunque. Non è noto pubblicamente se qualcuno di questi conti ne avesse una attiva.

Quella seconda via è ciò per cui sono pensati i controlli aggiuntivi degli exchange:

• OKX: accanto a alla sua funzione allowlist, un blocco separato per i nuovi indirizzi impedisce i prelievi verso un destinatario appena aggiunto per 24 ore.
• Crypto.com Exchange: Una attesa di 24 ore si applica agli indirizzi appena inseriti in whitelist, e la disattivazione della funzione richiede altre 24 ore per avere effetto.
• Kraken: Il Global Settings Lock blocca i nuovi indirizzi di prelievo e le modifiche alle impostazioni protette. Rimuoverlo significa attendere un ritardo scelto dall'utente, salvo che abbia configurato in anticipo una Master Key — una credenziale separata che può scavallare l'attesa.

Nessuno di questi controlli tocca un wallet già presente nell'elenco. Un blocco che rallenta i nuovi indirizzi lascia comunque a chiunque abbia le chiavi giuste la possibilità di usarne uno vecchio.

Convertiti fuori dall'USDC congelabile in poche ore

I fondi prelevati sono usciti come USDC, che il suo emittente, Circle, può congelare su qualsiasi indirizzo — un potere che gli emittenti hanno esercitato in furti on-chain passati. ETH non ha emittente, e DAI non ha funzione di congelamento, quindi convertire le stablecoin è stato il primo compito del ladro.

Poco prima della mezzanotte UTC dell'1 novembre, un wallet nuovo ha iniziato a vendere stablecoin tramite UniswapX, un'asta in cui le società di trading competono per eseguire gli ordini. In circa quattro ore ha venduto 62,98 milioni di dollari in USDC e USDT per 27.553 ETH, circa 2.286 dollari per moneta. Un altro ramo dei fondi è andato in DAI. Bitquery non ha osservato alcun congelamento da parte di Circle durante la vendita né al suo controllo di lunedì, e dichiara di non sapere se qualcuno abbia chiesto a Circle di intervenire.

Alle 13:47 UTC del 2 novembre, 78,27 milioni di dollari si trovavano ancora su Ethereum in indirizzi che Bitquery collega al ladro, per la maggior parte fuori dalla portata di qualunque emittente. Circa 30,5 milioni di dollari erano già usciti. L'uscita più grande, 8,12 milioni di dollari, è andata a un indirizzo di deposito KuCoin che Bitquery ritiene essere il conto commonale di Kyrrex, un exchange europeo. LI.FI, un bridge e router di swap, ha preso 4,34 milioni di dollari, in parte tramite wallet di ordini monouso che la società di analisi TRM etichetta come Wagyu, un servizio che converte in Monero, una criptovaluta orientata alla privacy il cui ledger è progettato per nascondere mittenti, destinatari e importi. FixedFloat, un exchange istantaneo che non richiede account, ha preso 1,32 milioni di dollari.

Vedere gli ETH su Ethereum non offre alla vittima alcun modo di riportarli indietro. Ciò che resta raggiungibile dipende dalle parti con potere sulla propria parte: Circle sul restante USDC, KuCoin e Kyrrex sul conto accreditato dal deposito, e gli exchange istantanei su chi ha piazzato gli ordini.

Cosa chiarirebbe la questione dell'accesso

Kraken, che ha pagato 178 dei prelievi, può confermare chi possiede il conto e cosa è avvenuto al suo interno. Tre registrazioni metterebbero alla prova la teoria di Bitquery: quando i quattro nuovi indirizzi sono stati aggiunti e se all'epoca si applicasse un blocco o un ritardo; se i prelievi sono passati da una sessione autenticata o da chiavi API con diritti di prelievo, credenziali che permettono al software di operare su un conto senza che una persona acceda; e se qualche impostazione di sicurezza è cambiata nelle ore precedenti alle 12:25 UTC dell'1 novembre.

Se quei log mostrano che i nuovi indirizzi sono passati perché un periodo di attesa era stato disattivato, la lezione si sposta verso le impostazioni del conto. Se le impostazioni erano intatte e il denaro si è comunque mosso attraverso vecchi wallet, la lettura del compromesso delle chiavi dei wallet si rafforza. Il segnale pubblico più vicino è più ristretto: se Circle congela i 3,74 milioni di USDC ancora detenuti, quasi tutti in cinque wallet, prima che il ladro li sposti.

Verificare chi può spendere da ogni indirizzo salvato

Per chiunque detenga saldi importanti sugli exchange, la traccia sostiene un audit della lista di prelievo in base al detentore delle chiavi anziché all'indirizzo. Per ogni destinazione salvata, la domanda è quale telefono, laptop, estensione del browser o servizio possa firmare per essa oggi, e se quello stesso dispositivo contiene anche il login dell'exchange. Il punto di Bitquery è che una singola intrusione su un simile dispositivo apre entrambi.

Le difese che suggerisce derivano da ciò: una chiave hardware per l'accesso e per i wallet in allowlist, il periodo di attesa per i nuovi indirizzi attivato, e la stessa vigilanza sui wallet in allowlist come sul conto stesso. Un pagamento che arriva in un wallet che avete smesso di usare è un segnale d'allarme. Coindoo ha documentato una lacuna simile quando vecchi wallet sono stati svuotati dopo che i trader avevano smesso di usare un bot — un indirizzo a cui non pensate più può avere ancora qualcuno in grado di spendere da esso.