Hakerzy powiązani z włamaniem związanym z Binance wykorzystali wcześniej niespotykane wzorce prania pieniędzy, aby szybko przepuszczać skradzione środki przez tysiące transakcji – według firmy zajmującej się analizą blockchainu, Chainalysis.

Atakujący wielokrotnie przenosili aktywa między portfelami, w tym odsyłali środki na adresy, które już wcześniej pojawiały się w śladzie transakcyjnym. Zamiast przemieszczać środki prostą ścieżką z jednego portfela do drugiego, przepuszczali je przez złożoną serię transakcji. Szybkość i powtarzalność tych operacji sugerują, że proces mógł być zautomatyzowany – zgodnie z informacjami udostępnionymi przez Coin Bureau w poście na X.

Powtarzające się transfery między portfelami utrudniają śledzenie

Zgłaszana działalność związana z praniem pieniędzy wyróżnia się nietypową strukturą transakcji. Środki nie były po prostu przesyłane liniowym łańcuchem nowo utworzonych adresów. Zamiast tego atakujący wielokrotnie przenosili aktywa między wieloma portfelami i wracali do adresów, które już wcześniej pojawiały się w historii transakcji.

Chainalysis opisała tę działalność jako wcześniej niespotykany wzorzec prania pieniędzy. Szybki obieg środków przez tysiące transakcji, w połączeniu z powtarzającymi się transferami między portfelami, sugeruje próbę zatarcia powiązania między pierwotnie skradzionymi aktywami a ich kolejnymi miejscami przeznaczenia.

Ta charakterystyka ma znaczenie, ponieważ firmy takie jak Chainalysis i Elliptic śledzą skradzione kryptowaluty, analizując aktywność zapisaną w publicznych blockchainach, a metody śledzenia opierające się na rozpoznawalnych strukturach przepływu mogą mieć trudniejsze zadanie, gdy środki są przepuszczane przez wzorce, które wcześniej nie zostały skatalogowane.

Jednak dostępne informacje nie potwierdzają, że atakującym udało się ukryć wszystkie środki ani uczynić ich niemożliwymi do śledzenia. Działalność ta wydaje się mieć na celu utrudnienie śledzenia blockchainu, ale sama w sobie nie dowodzi, że działania śledcze zostały pokonane.

Richard Teng opisuje „mechanizm samozniszczenia”

CEO Binance Richard Teng powiedział, że atakujący użyli podczas włamania „mechanizmu samozniszczenia”, aby zniszczyć narzędzia i ślady. Jego opis wskazuje na próbę usunięcia dowodów związanych z atakiem, co odróżnia się od późniejszego przemieszczania skradzionych środków przez wiele adresów portfeli.

Zgłaszany mechanizm i nietypowe wzorce transakcyjne reprezentują dwa odrębne aspekty incydentu. Pierwszy dotyczy zniszczenia narzędzi i śladów podczas włamania, natomiast drugi – szybkiego przemieszczania środków po ich kradzieży.

Wstępne ustalenia wskazują na ograniczone korzystanie z mixerów i giełd

Wstępne ustalenia firmy zajmującej się analizą blockchainu, Elliptic, wskazywały, że prawie żadne ze skradzionych środków nie trafiło do mixerów, mostków ani giełd. Ta obserwacja czyni powtarzające się transfery między portfelami szczególnie godnymi uwagi: środki krążyły poprzez nietypowe wzorce transakcyjne zamiast podążać trasami powszechnie kojarzonymi z tymi usługami.

Atakujący szybko wymienili również stablecoiny podlegające zamrożeniu finansowemu na aktywa takie jak ETH i przesyłali środki między adresami, zanim aktualizacje czarnych list – powszechna praktyka, w ramach której giełdy i emitenci stablecoinów blokują znane skażone adresy – zdążyły je nadążyć. Zgodnie z informacjami udostępnionymi przez Coin Bureau, te działania zakończyły się tylko częściowym sukcesem.

Połączenie powtarzających się transferów między portfelami, szybkich wymian aktywów i prób przemieszczania środków przed aktualizacjami czarnych list ilustruje zgłaszaną złożoność działalności związanej z praniem pieniędzy. Identyfikacja wcześniej niespotykanych wzorców przez Chainalysis oraz wstępne ustalenia Elliptic dostarczają odrębnych perspektyw na to, jak postępowano ze skradzionymi aktywami. Kolejnym istotnym sygnałem będzie miejsce, w którym środki się pojawią: dalsze aktualizacje od Chainalysis, Elliptic lub Binance dotyczące miejsc przeznaczenia aktywów pokażą, czy wzorzec ostatecznie utrudnił śledzenie oraz czy jakakolwiek część trafi do mixerów, mostków czy giełd, których jak dotąd w dużej mierze uniknięto.

Źródło: Hokanews