Nieznany podmiot z Unii Europejskiej mógł stracić ponad 106 milionów dolarów w kryptowalutach w wyniku podejrzanych nieuprawnionych wypłat z kont na wielu giełdach 1 listopada — poinformował w poniedziałek w publicznym alarmie na Telegramie śledczy blockchainowy ZachXBT, anonimowy badacz on-chain znany z publicznego śledzenia skradzionych środków.

Według badacza środki opuściły konta jako USDC i USDT, dwa stablecoiny powiązane z dolarem, emitowane odpowiednio przez Circle i Tether. Poszkodowany, dotknięte giełdy oraz podejrzany o atak pozostają nieznani, a ani zgłoszona strata, ani metoda uzyskania dostępu nie zostały niezależnie potwierdzone.

11 adresów portfeli powiązanych z podejrzewaną kradzieżą

ZachXBT zidentyfikował 11 powiązanych adresów portfeli związanych z podejrzewaną kradzieżą. Jego alarm na Telegramie śledził transfery z kont giełdowych do portfeli wykorzystywanych do przenoszenia i konwersji aktywów, a także wezwał inne podmioty do monitorowania tych adresów pod kątem dalszych ruchów.

Śledczy nie ustalił, czy doszło do naruszenia systemów giełd, czy do skompromitowania dostępu do kont. Żadna dotknięta organizacja z UE ani giełda nie potwierdziła publicznie zgłoszonych wypłat, a śledcy nie opublikowali ostatecznego, szczegółowego zestawienia strat. Publiczne oznaczanie adresów to standardowy krok w śledztwach on-chain — giełdy i zespoły compliance regularnie monitorują takie portfele, a depozyty wywodzące się z kradzieży mogą zostać zamrożone lub zablokowane, gdy trafią na platformy lub do emitentów zdolnych do interwencji.

Stablecoiny skonwertowane i przeniesione przez wiele sieci

Według alarmu podejrzany o atak wymienił USDC na ether — kroku tego typu odnotowano także podczas zeszłotygodniowego włamania na Binance. Transfery następnie kontynuowano przez WellWallet i Kyrrex, a część środków została, jak się podaje, wymieniona na Monero przez Wagyu przed przeniesieniem między blockchainami.

Monero z założenia zaciemnia szczegóły transakcji — ta kryptowaluta nastawiona na prywatność została zaprojektowana tak, aby ukrywać nadawców, odbiorców i kwoty — podczas gdy emitenci USDC i USDT mogą w określonych warunkach zamrozić te stablecoiny. Po publicznym oznaczeniu właściwych adresów każdy dalszy ruch środków lub akcja zamrożenia ze strony Circle albo Tether byłaby widoczna w rejestrach on-chain.

ZachXBT wyklucza grupę Lazarus

ZachXBT powiedział, że kilka wzorców w przepływach środków dawało mu silne przekonanie, że grupa Lazarus nie odpowiada za podejrzewaną kradzież. Nie wskazał innego podejrzanego ani nie wyjaśnił publicznie każdego z tych wskaźników.

W odrębnym przypadku badacze powiązali atak na Binance z grupą TraderTraitor, północnokoreańską grupą związaną z Lazarus — kolektywem, któremu rządy i firmy zajmujące się bezpieczeństwem wielokrotnie przypisywały największe kradzieże kryptowalut. Badacze bezpieczeństwa oszacowali, że Binance stracił w incydencie z 29 października około 6,3 miliarda dolarów.

Inne platformy kryptowalutowe zgłaszają incydenty bezpieczeństwa

Podejrzewana kradzież została zgłoszona równolegle z serią innych problemów z bezpieczeństwem w branży. Brazylijska giełda Mercado Bitcoin ujawniła incydent bezpieczeństwa po tym, jak badacze oznaczyli ponad 40 milionów dolarów podejrzanych transferów. Firma zapewniła, że klienci nie ponieśli szkód, i tymczasowo zawiesiła wpłaty oraz wypłaty.

Osobno BTCPay Server ostrzegł, że atakujący opróżnili środki ze starszych wersji swojego oprogramowania. Według firmy wersje 2.4.1 i starsze były narażone na zidentyfikowaną metodę ataku, podczas gdy w przypadku najnowszego wydania 2.4.7 nie odnotowano wiarygodnych zgłoszeń o opróżnianiu portfeli.

Tymczasem Binance odłożył ponad 6,34 miliarda dolarów na pokrycie strat związanych z włamaniem, w tym 5 miliardów dolarów przechowywanych w dotkniętych tokenach.