De daders van de diefstal van 6,3 miljard dollar bij Binance zijn begonnen gestolen Solana (SOL) om te wisselen voor Bitcoin (BTC), aldus blockchainonderzoekers, nadat ze het grootste deel van de Tron-portemonnees waar ze de fondsen mee verplaatsten hatten leeggetrokken.

Lookonchain meldde zondag dat de hackers 486.970 SOL hadden verplaatst, ter waarde van ongeveer 46,4 miljoen dollar, en de tokens aan het omwisselen waren voor Bitcoin via Relay, een cross-chainprotocol voor het verplaatsen van tokens tussen blockchains.

Het witwacen betreft activa die aan de bevriezingen ontsnapten die na de diefstal van donderdag waren opgelegd, de grootste in de geschiedenis van cryptocurrency, meer dan vier keer het vorige record van circa 1,5 miljard dollar dat in februari 2025 van de beurs Bybit werd gestolen. Branchepartners zoals Tether en Circle bevroren grofweg 3 miljard dollar van de gestolen fondsen — bevriezingen die mogelijk zijn omdat stablecoins centraal worden uitgegeven en hun uitgevers adressen op een zwarte lijst kunnen plaatsen, een middel dat niet bestaat voor native activa zoals Bitcoin, Ether of Solana — terwijl onderzoeker SomaXBT schatte dat de aanvallers nog ongeveer 3,5 miljard dollar aanhielden.

Binance zei dat de aanval de hot wallets had gecompromitteerd — de met internet verbonden portemonnees die beurzen gebruiken voor klantopnames — en dat eerste bevindingen wezen op een gehackte laptop van een medewerker voordat onderzoekers additionalie toegangspunten ontdekten. De beurs begon zondag met het herstellen van opnames, beloofde de verliezen te dekken en werkt samen met de Amerikaanse autoriteiten om de gestolen activa op te sporen en terug te vorderen.

Gerelateerd: OKX trekt 445 miljoen dollar aan netto-instroom terwijl de uitstroom bij Binance 7 miljard dollar overschrijdt.

In een update van zondag zei Chainalysis dat de meeste tijdelijke portemonnees van de hackers op Tron leeg waren getrokken nu de witwacoperatie naar Solana was uitgebreid. Het analytico waardeerde de Tron-transfers op grofweg 500 miljoen dollar.

SomaXBT merkte in reactie op dat het bedrag van 500 miljoen dollar alle transfers tijdens het witwacproces weerspiegelde, waaronder herhaalde verplaatsingen tussen portemonnees, terwijl er slechts ongeveer 242 miljoen dollar daadwerkelijk de Tron-portemonnees verliet.

Op vrijdag meldde Chainalysis dat de hackers lijken automatisering te gebruiken om hun sporen te verhullen, wijzend op duizenden transacties die in een korte periode werden uitgevoerd. Het bedrijf zag fondsen herhaaldelijk circuleren tussen adressen, soms terugkerend naar portemonnees die eerder in de reeks waren gebruikt.

FBI vraagt cryptodiensten om transacties van hackers te blokkeren

Een deel van de gestolen fondsen bereikte ook de gecentraliseerde beurs Gate. Lookonchain meldde maandag dat de hackers in de voorafgaande 12 uur ongeveer 250.000 dollar op het platform hadden gestort. Gate zei inmiddels twee gelinkte accounts te hebben bevroren en met justitie te zullen samenwerken, hoewel de verklaring het bevroren bedrag niet noemde.

De FBI schreef de diefstal op zaterdag toe aan TraderTraitor, een Noord-Koreaanse hackergroep die Amerikaanse instanties eerder verbonden aan andere grote cryptodiefstallen, waaronder de kraak van ongeveer 620 miljoen dollar op de Ronin Network-bridge in 2022, en publiceerde de walletadressen die aan de gestolen activa zijn gekoppeld.

Samen met de US Secret Service en IRS Criminal Investigation riep het agentschap THORChain-nodeoperators, beurzen en gedecentraliseerde financiële (DeFi)-diensten op om transacties met die adressen of daarnaar getraceerde fondsen te blokkeren. THORChain is een gedecentraliseerd cross-chain swap-protocol dat draait op onafhankelijke nodeoperators in plaats van een centraal bedrijf.

Onderzoekers hadden de hackers eerder de gestolen activa vooral naar Ether (ETH) zien omzetten voordat de bewegingen naar Solana en Bitcoin volgden, en verwachtten verdere witwac via DeFi-protocollen en directe swapservices, aldus de FBI.