Aanvallers achter de Binance-hack hebben $175 miljoen aan gestolen altcoins omgewisseld in circa 2.300 BTC, aldus blockchainanalysebedrijf Elliptic. De extra bitcoin kwam voort uit het omwisselen van assets die al waren buitgemaakt tijdens de inbreuk bij de beurs op 29 oktober, wat betekent dat de omwisselingen de vorm van eerder gestolen fondsen veranderden en geen nieuwe diefstal weerspiegelden. Met andere woorden: de operaties veranderen waar de fondsen zich bevinden en hoe moeilijk ze te traceren zijn — niet hoeveel er is gestolen.

Het door Elliptic bijgewerkte rapport van 7 november beschrijft uitgebreide transacties over duizenden wallets, meerdere blockchains en tientallen diensten. De gedetailleerde dagelijkse registratie van het bedrijf volgde ook bitcoin die coinjoin-transacties binnenkwam — privacytools die munten van meerdere gebruikers combineren en het traceren bemoeilijken.

Binance-hackrapport volgt $175 miljoen aan bitcoinomwisselingen

Elliptic-medegrondlegger en hoofdwetenschapper Tom Robinson karakteriseerde de witwasoperatie als sterk geautomatiseerd. Zijn analyse telde meer dan 20.000 wallets op 16 blockchains, met ten minste 36 diensten en 65.000 transacties — een tempo van gemiddeld ongeveer één nieuwe wallet per 30 seconden en één transactie per 10 seconden. Die cijfers beschrijven geaggregeerde activiteit en zijn geen bewijs dat kunstmatige intelligentie de transacties stuurde.

Gestolen altcoins, waaronder SOL, XRP en TRX, droegen bij aan de bitcoinomwisselingen. Ongeveer $90 miljoen aan SOL werd verplaatst via swaps, bridges en privacydiensten — token-naar-token-ruil, overdrachten tussen blockchains en tools die zijn gebouwd om transactiesporen te verhullen — waarbij een groot deel van de waarde uiteindelijk in bitcoin terechtkwam. Ook THORChain was betrokken en faciliteerde omwisselingen tussen netwerken. Ethereum maakte een kleiner deel uit van de omgewisselde assets, terwijl de primaire bitcoin- en ether-bezittingen van de aanvallers slapend bleven.

De registratie van 7 november meldde dat ongeveer 88 BTC, ter waarde van $6,7 miljoen, in coinjoins in Wasabi-stijl was terechtgekomen. Deze transacties combineren inputs van meerdere deelnemers, waardoor directe verbanden tussen inkomende en uitgaande bitcoins moeilijker te identificeren zijn. Robinson identificeerde ook ongeveer 412.000 NEAR, ter waarde van $1,5 miljoen, die in kleine porties het hoofdrekening verlieten. De nieuw omgewisselde 2.300 BTC is ondergebracht op afzonderlijke bitcoinadressen, gescheiden van de bestaande bezittingen van de aanvallers.

Wallettotalen verschillen terwijl onderzoekers gestolen fondsen natrekken

Een aparte telling van analyseplatform Arkham laat een veel kleinere toename zien dan de omwisselingsinschatting van Elliptic. De gelabelde entiteit van Arkham zou op 7 november om 10:00 uur Eastern tijd 18.384,725 BTC hebben gehouden, tegenover de 18.270,2 BTC die tijdens de Binance-hack werd afgetapt — een verschil van ruim 114,525 BTC, ver onder het cijfer van 2.300 BTC. Een Arkham-entiteitspagina die voor dit artikel werd geraadpleegd, toonde circa 18.387 BTC in de gelabelde wallets, volgens news.bitcoin.com.

Die metingen stemmen de twee platforms niet op zichzelf met elkaar in overeenstemming. Een vergelijking zou vereisen dat adressen, tijdstempels en aannames over welke wallets aan de aanvallers toebehoren op elkaar worden afgestemd. Het cijfer van Elliptic dekt omgezette gestolen altcoins, terwijl het saldo van Arkham adressen dekt die onder zijn entiteitslabel zijn gegroepeerd. Verschillen in dekking of timing zouden de kloof kunnen verklaren, hoewel de beschikbare rapporten de oorzaak niet vaststellen. Dit soort uiteenlopende uitkomsten is een terugkerend kenmerk van on-chain onderzoek, omdat elk analyseplatform eigen entiteitslabels en dekkingsregels toepast op dezelfde onderliggende adressen.

On-chain gegevens uit het rapport tonen bitcoinstortingen uit THORChain-kluizen en TRX-swaps via Sun.io, een swapprotocol op het TRON-netwerk, wat wijst op voortdurende witwasactiviteit in verband met de hack, naast de slapende primaire bitcoin- en ether-bezittingen.

Het witten van bitcoin blijft onderscheiden van het omzetten van opbrengsten in besteedbare fondsen. Elliptic stelde dat slechts een verwaarloosbaar bedrag van de gestolen assets waarschijnlijk het cash-out-stadium had bereikt, ondanks de uitgebreide onderlinge overdrachten. Omdat de registratie van Elliptic dag na dag wordt opgebouwd, zijn de cijfers van 7 november een momentopname van een nog lopende operatie; de latere registraties in het rapport, samen met gepubliceerde saldotrackers zoals de entiteitspagina van Arkham, vormen het lopende verslag dat de moeite van het volgen waard is naarmate het traceren doorgaat.

Hoe de inbreuk verliep en de reactie van Binance

Aanvallers tapten 18.270,2 BTC van de beurs af bij het incident van 29 oktober. Onderzoekers stelden vast dat ze ongeautoriseerde toegang hadden verkregen tot een interne wallet-ondertekendienst, en Binance beschreev gecompromitteerde apparaten van medewerkers en kwaadaardige software die voorafgingen aan de ongeautoriseerde overdrachten.

Na het incident meldde de beurs dat het de geïdentificeerde toegangspunten had gesloten en getroffen systemen had herbouwd of vervangen. De reactie omvatte strengere apparaatcontroles en sterkere controles op walletdiensten na het incident.

Binance stelde de getroffen assets op circa $6,34 miljard in zijn incidentrapport van 3 november en zei meer dan voldoende middelen te hebben gereserveerd om de financiële impact op te vangen. Het bedrijf verwees ook naar FBI-informatie die het incident aan Noord-Korea toeschrijft. Het zei dat 98% van de getroffen token-assets per 31 oktober was aangevuld, terwijl de aankoop van resterende illiquide assets doorging. Binance meldde circa $2,85 miljard aan bevroren of onderschepte assets, onder voorbehoud van reconciliatie en marktprijswijzigingen.

Bron: Blockonomi