Binanceハッキング事件の攻撃者が、盗んだアルトコイン1億7500万ドル分を約2,300 BTCに変換したことが、ブロックチェーン分析企業Ellipticの報告で明らかになりました。この追加のビットコインは、10月29日の取引所侵入ですでに盗まれていた資産の交換によるものであり、変換は盗まれた資金の形態を変えたものであり、新たな窃取を意味するものではありません。つまり、これらの操作は資金の所在地と追跡の難易度を変えるものであり、盗まれた総額が変わるわけではありません。

Ellipticの報告書は、11月7日に更新され、数千のウォレット、複数のブロックチェーン、数十のサービスにわたる大規模な送金を記録しています。同社の詳細な日次報告では、coinjoin取引(複数のユーザーのコインをcombineし、追跡を困難にするプライバシー手段)に流入するビットコインも追跡しました。

Binanceハッキング報告、1億7500万ドル分のビットコイン変換を追跡

Ellipticの共同創設者兼チーフサイエンティストであるTom Robinsonは、このマネーロンダリング活動を高度に自動化されたものと評しています。彼の分析では、16のブロックチェーン上に2万を超えるウォレット、少なくとも36のサービス、6万5000件の取引が確認され、そのペースは平均して約30秒ごとに新しいウォレットが1つ、10秒ごとに取引が1件作られていました。これらの数字は集計上の活動を示すものであり、人工知能が送金を指揮した証拠ではありません。

SOL、XRP、TRXなどの盗まれたアルトコインがビットコインへの変換に寄与しました。約9000万ドル相当のSOLがスワップ、ブリッジ、プライバシーサービス(トークン間交換、ブロックチェーン間送金、取引の痕跡を隠すためのツール)を通じて移動し、その価値の多くは最終的にビットコインになりました。THORChainも関与し、ネットワーク間の変換を容易にしました。イーサリアムは変換された資産のうち比較的小さな割合を占め、攻撃者の主要なビットコインおよびイーサリアムの保有分は休眠状態のままでした。

11月7日の報告では、約88 BTC(670万ドル相当)がWasabi型のcoinjoinに流入したと記載されています。これらの取引は複数の参加者からのインプットをcombineするため、送受信されるビットコイン間の直接的な関連を特定することがより困難になります。Robinsonはまた、約41万2000 NEAR(150万ドル相当)が少額ずつ複数回に分けてメインアカウントから流出したことも特定しました。新たに変換された2,300 BTCは、攻撃者の既存の保有分とは別のビットコインアドレスに移されています。

調査が進む中、ウォレット残高に食い違い

分析プラットフォームArkhamによる別の集計では、Ellipticの変換推計をはるかに下回る増加が示されています。Arkhamのラベル付けされたエンティティは、報道によると11月7日午前10時(米東部時間)時点で18,384.725 BTCを保有しており、Binanceハッキングで流出した18,270.2 BTCと比較すると差は約114.525 BTCで、2,300 BTCという数字を大きく下回っています。本記事の調査で確認したArkhamのエンティティページでは、ラベル付きウォレットに約18,387 BTCが表示されていました(news.bitcoin.comによる)。

これらの数値だけでは2つのプラットフォームの差を説明できません。比較には、アドレスの照合、タイムスタンプ、どのウォレットが攻撃者のものであるかという前提が必要です。Ellipticの数字は変換された盗まれたアルトコインを対象とする一方、Arkhamの残高はそのエンティティラベルにグループ化されたアドレスを対象としています。対象範囲やタイミングの違いがこの差を説明しうるものの、公開されている報告では原因は確定されていません。この種の食い違いは、各分析プラットフォームが同じ基盤となるアドレスに独自のエンティティラベルと対象範囲のルールを適用するため、オンチェーン調査で繰り返し見られる特徴です。

報告書で引用されたオンチェーン記録には、THORChainのvaultからのビットコイン入金や、TRONネットワーク上のスワッププロトコルSun.ioを通じたTRXのスワップが示されており、休眠状態の主要なビットコイン・イーサリアム保有分に加え、ハッキングに関連する継続的なマネーロンダリング活動を示しています。

ビットコインのロンダリングは、収益を支出可能な資金に換金することとは異なります。Ellipticは、資産間の大規模な移動にもかかわらず、盗まれた資産のごく一部のみが換金段階に達したと評価しています。Ellipticの報告は日々 accumulationされるため、11月7日の数値は進行中の活動のスナップショットです。追跡が続く中、報告書のその後の記録や、Arkhamのエンティティページのような公開残高トラッカーが、注視すべき継続的記録となります。

侵入の経緯とBinanceの対応

10月29日の事件で、攻撃者は取引所から18,270.2 BTCを流出させました。調査では、攻撃者が内部のウォレット署名サービスに不正アクセスしたことが判明し、Binanceは不正送金に先立って従業員のデバイスが侵害され、悪意あるソフトウェアが使用されたと説明しています。

事後、取引所は特定された侵入経路を閉鎖し、影響を受けたシステムを再構築または交換したと述べています。その対応には、より厳格なデバイス管理と、ウォレットサービスに対する強化されたチェックが含まれていました。

Binanceは11月3日のインシデント報告で、影響を受けた資産を約63億4000万ドルとし、この財務的影響を吸収するのに十分な資金を確保していると述べました。同社はまた、FBIの情報に基づき北朝鮮による犯行としていることを明らかにしました。影響を受けたトークン資産の98%は10月31日までに補充され、残りの非流動性資産の購入は継続中としています。Binanceは、約28億5000万ドルの資産が凍結または遮断されたと報告しており、これは照合および市場価格の変動の影響を受けます。

出典:Blockonomi