Opnieuw heeft een diefstal met negen cijfers de cryptowereld getroffen, slechts enkele dagen na de grootste roof in de geschiedenis van de sector.

Een naamloze entiteit in de Europese Unie is vermoedelijk meer dan $106 miljoen kwijtgeraakt vanaf verschillende rekeningen op gecentraliseerde exchanges op zondag 1 november. Pseudonieme onchain-onderzoeker ZachXBT, bekend van het traceren van gestolen fondsen over blockchains heen, meldde het incident maandag in een bericht op zijn Telegram-kanaal.

De fondsen werden opgenomen als de stablecoins USDC en USDT door wat hij een "illicit actor" noemde.

In de 24 uur daarna handelde de dader agressief om zijn sporen uit te wissen, aldus ZachXBT. De aanvaller wisselde USDC om naar ETH, stuurde fondsen via instant exchange-diensten zoals WellWallet en Kyrrex, zette een deel van de opbrengsten om naar de privacycoin Monero via Wagyu en brugde activa over meerdere blockchains. Cross-chain bridges, die activa tussen blockchains verplaatsen, kunnen het geldspoor verder fragmenteren. ZachXBT publiceerde ook 11 Ethereum-adressen die met de diefstal verband houden.

Instant exchanges stellen gebruikers in staat snel de ene cryptocurrency om te wisselen naar de andere, vaak met weinig identiteitsverificatie, terwijl Monero afzenders, ontvangers en transactiebedragen verbergt, waardoor het een populair instrument is om gestolen fondsen te verhullen. Het omwisselen van USDC en USDT is ook significant omdat die tokens centraal worden uitgegeven en de bedrijven erachter ze kunnen bevriezen. USDC en USDT behoren tot de meest gebruikte stablecoins, en hun uitgevers — respectievelijk Circle en Tether — hebben eerder al saldi bevroren die verband hielden met hacks en gesanctioneerde adressen. Die bevriezingsbevoegdheid geldt echter alleen voor fondsen die nog in die tokens worden aangehouden; eenmaal omgewisseld naar ETH of Monero is deze niet meer van toepassing.

ZachXBT zei dat de dader nog steeds niet is geïdentificeerd, maar dat hij "met een hoge mate van zekerheid" kan zeggen dat het niet om de Lazarus Group gaat, met verwijzing naar meerdere witwasindicatoren. Lazarus is de overkoepelende naam die vaak wordt gebruikt voor de door de staat gesteunde hackers van Noord-Korea. Hij noemde het slachtoffer niet.

Die beoordeling onderscheidt deze diefstal van de record-hack van $6,4 miljard op Binance, die de FBI heeft toegeschreven aan TraderTraitor, een Noord-Koreaanse hackergroep. In dat geval handelden de uitgevers van stablecoins binnen enkele minuten: Tether bevroor gestolen USDT op Ethereum binnen 37 minuten, en Circle bevroor alle $823 miljoen aan gestolen USDC, waardoor naar schatting ongeveer 44% van de buit werd geblokkeerd, volgens blockchain-analysebedrijf Elliptic. De witwassers van Noord-Korea hebben de resterende fondsen sindsdien verspreid over ongeveer 12.000 wallets.

Het is onduidelijk of er in de EU-zaak fondsen zijn bevroren. Gezien de omwisselingen van de dader weg van stablecoins op de eerste dag zou een bevriezing door Circle of Tether alleen betrekking hebben op saldi die nog in USDC of USDT worden aangehouden, en de 11 gepubliceerde Ethereum-adressen geven het publiek een manier om die wallets te monitoren op verdere activiteit.

Het incident voegt zich bij een al ongekende week voor de cryptobeveiliging. Naast de record-hack op Binance meldde de Braziliaanse exchange Mercado Bitcoin maandag dat het opnames had stopgezet na een eigen hack van $40 miljoen. Eveneens maandag vroeg betalingsbedrijf BTCPay Server verkopers hun servers uit te schakelen naar aanleiding van meldingen van aanvallen op hot wallets.