Napastnicy stojący za włamaniem na Binance wymienili 175 milionów dolarów skradzionych altcoinów na około 2300 BTC — według firmy analitycznej Elliptic. Dodatkowy bitcoin pochodził z wymiany aktywów już wcześniej wykradzionych podczas włamania na giełdę z 29 października, co oznacza, że konwersje zmieniły formę wcześniej skradzionych środków, a nie stanowiły nowej kradzieży. Innymi słowy, operacje zmieniają miejsce, w którym znajdują się środki, oraz to, jak trudne są do prześledzenia — a nie to, ile ich skradziono.

Raport Elliptic, zaktualizowany 7 listopada, opisał rozległe transfery obejmujące tysiące portfeli, wiele blockchainów i dziesiątki serwisów. Szczegółowe codzienne zestawienie firmy śledziło również bitcoin trafiający do transakcji coinjoin — narzędzi prywatności łączących monety wielu użytkowników i utrudniających śledzenie.

Raport o włamaniu na Binance śledzi konwersje na 175 milionów dolarów w bitcoinie

Współzałożyciel i główny naukowiec Elliptic, Tom Robinson, określił operację prania pieniędzy jako wysoce zautomatyzowaną. Jego analiza wykazała ponad 20 000 portfeli w 16 blockchainach, z udziałem co najmniej 36 serwisów i 65 000 transakcji — tempo wynosiło średnio mniej więcej jeden nowy portfel co 30 sekund i jedną transakcję co 10 sekund. Liczby te opisują zagregowaną aktywność, a nie stanowią dowodu, że transfery kierowała sztuczna inteligencja.

Skradzione altcoiny, w tym SOL, XRP i TRX, przyczyniły się do konwersji na bitcoina. Około 90 milionów dolarów w SOL przepłynęło przez swapy, mostki i serwisy prywatności — wymiany token na token, transfery między blockchainami i narzędzia zbudowane w celu zacierania śladów transakcji — przy czym duża część wartości ostatecznie stała się bitcoinem. Zaangażowany był również THORChain, ułatwiający konwersje między sieciami. Ethereum stanowiło mniejszą część wymienionych aktywów, podczas gdy główne zasoby bitcoinów i eteru napastników pozostawały nieaktywne.

Z wpis z 7 listopada wynika, że około 88 BTC o wartości 6,7 miliona dolarów trafiło do coinjoinów w stylu Wasabi. Transakcje te łączą wejścia od wielu uczestników, co utrudnia bezpośrednie powiązanie przychodzących i wychodzących bitcoinów. Robinson zidentyfikował również około 412 000 NEAR o wartości 1,5 miliona dolarów opuszczających główne konto w małych partiach. Nowo wymienione 2300 BTC zostało umieszczone na oddzielnych adresach bitcoinowych, odrębnych od istniejących zasobów napastników.

Stany portfeli różnią się, gdy śledczy tropią skradzione środki

Oddzielne zestawienie z platformy analitycznej Arkham pokazuje znacznie mniejszy wzrost niż szacunek konwersji Elliptic. Oznaczona jednostka Arkham miała podobno 18 384,725 BTC 7 listopada o 10:00 czasu wschodnioamerykańskiego, w porównaniu z 18 270,2 BTC wykradzionymi podczas włamania na Binance — różnica wynosi około 114,525 BTC, znacznie poniżej kwoty 2300 BTC. Strona jednostki Arkham, przejrzana na potrzeby tego artykułu, wyświetlała około 18 387 BTC w oznaczonych portfelach, zgodnie z news.bitcoin.com.

Te odczyty same w sobie nie godzą dwóch platform. Porównanie wymagałoby dopasowania adresów, znaczników czasu i założeń co do tego, które portfele należą do napastników. Liczba Elliptic obejmuje wymienione skradzione altcoiny, podczas gdy stan Arkham obejmuje adresy zgrupowane pod jego etykietą jednostki. Różnice w zakresie pokrycia lub czasie mogą wyjaśniać rozbieżność, choć dostępne raporty nie ustalają przyczyny. Takie rozbieżności są powtarzającą się cechą śledztw on-chain, ponieważ każda platforma analityczna stosuje własne etykiety jednostek i reguły pokrycia do tych samych adresów.

Zapisy on-chain przywołane w raporcie pokazują wpłaty bitcoinów ze skarbców THORChain i swapy TRX przez Sun.io — protokół swapowy w sieci TRON — co wskazuje na trwającą aktywność prania pieniędzy związaną z włamaniem, obok nieaktywnych głównych zasobów bitcoinów i eteru.

Prawanie bitcoinów pozostaje czymś innym niż wypłacanie zysków do zbywalnych środków. Elliptic ocenił, że tylko znikoma ilość skradzionych aktywów najprawdopodobniej dotarła do etapu wypłaty, mimo rozległych transferów między nimi. Ponieważ zestawienie Elliptic jest opracowywane dzień po dniu, dane z 7 listopada to migawka operacji, która wciąż trwa; kolejne wpisy raportu, wraz z opublikowanymi śledzikami stanów, takimi jak strona jednostki Arkham, są bieżącym zapisem, na który warto patrzeć, gdy śledzenie trwa nadal.

Jak przebiegło włamanie i odpowiedź Binance

Napastnicy wykradli 18 270,2 BTC z giełdy w incydencie z 29 października. Śledczy ustalili, że uzyskali nieautoryzowany dostęp do wewnętrznej usługi podpisywania portfeli, a Binance opisał skompromitowane urządzenia pracowników i złośliwe oprogramowanie poprzedzające nieautoryzowane transfery.

Po incydencie giełda oświadczyła, że zamknęła zidentyfikowane punkty wejścia i przebudowała lub wymieniła dotknięte systemy. Jej reakcja obejmowała ostrzejszą kontrolę urządzeń i silniejsze kontrole usług portfeli po incydencie.

Binance oszacował dotknięte aktywa na około 6,34 miliarda dolarów w raporcie o incydencie z 3 listopada i oświadczył, że odłożył więcej niż wystarczające środki, aby pokryć skutki finansowe. Firma powołała się również na informacje FBI przypisujące incydent Korei Północnej. Oświadczyła, że 98% dotkniętych aktywów tokenowych zostało uzupełnionych do 31 października, podczas gdy zakupy pozostałych niepłynnych aktywów trwały nadal. Binance zgłosił około 2,85 miliarda dolarów zamrożonych lub przechwyconych aktywów, podlegających uzgodnieniu i zmianom cen rynkowych.

Źródło: Blockonomi