Атакующие, стоящие за взломом Binance, конвертировали $175 млн в украденных альткоинах примерно в 2 300 BTC, сообщается в отчете блокчейн-аналитической компании Elliptic. Дополнительный биткоин был получен путем обмена активами, уже похищенными в результате взлома биржи 29 октября, то есть конвертации изменили форму ранее украденных средств, а не стали новой кражей. Иными словами, эти операции меняют то, где находятся средства и насколько сложно их отследить, — но не сумму кражи.

В отчете Elliptic, обновленном 7 ноября, описываются масштабные переводы между тысячами кошельков, множеством блокчейнов и десятками сервисов. Подробный ежедневный отчет компании также отследил поступление биткоина в coinjoin-транзакции — инструменты повышения конфиденциальности, объединяющие монеты нескольких пользователей и усложняющие отслеживание.

В отчете о взломе Binance отслежена конвертация $175 млн в биткоин

Сооснователь и главный научный сотрудник Elliptic Том Робинсон охарактеризовал операцию по отмыванию как в высокой степени автоматизированную. Его анализ выявил более 20 000 кошельков в 16 блокчейнах, задействовавших как минимум 36 сервисов и 65 000 транзакций — в среднем примерно один новый кошелек каждые 30 секунд и одна транзакция каждые 10 секунд. Эти цифры описывают совокупную активность, а не доказывают, что переводами управлял искусственный интеллект.

В конвертации в биткоин внесли вклад украденные альткоины, включая SOL, XRP и TRX. Около $90 млн в SOL прошло через свопы, мосты и сервисы повышения конфиденциальности — обмены токен на токен, переводы между блокчейнами и инструменты, созданные для сокрытия следов транзакций, — при этом значительная часть стоимости в итоге стала биткоином. Также был задействован THORChain, обеспечивавший конвертации между сетями. Ethereum составил меньшую часть конвертированных активов, тогда как основные запасы биткоина и эфира атакующих оставались неподвижными.

В записи от 7 ноября сообщалось, что около 88 BTC на сумму $6,7 млн поступили в coinjoin-транзакции в стиле Wasabi. Такие транзакции объединяют входы нескольких участников, что затрудняет установление прямых связей между входящими и исходящими биткоинами. Робинсон также обнаружил около 412 000 NEAR на сумму $1,5 млн, покидавших основной счет небольшими партиями. Новоконвертированные 2 300 BTC были размещены на отдельных биткоин-адресах, отличных от существующих запасов атакующих.

Данные по кошелькам расходятся, пока следователи отслеживают украденные средства

Отдельный подсчет аналитической платформы Arkham показывает гораздо меньший прирост, чем оценка конвертации Elliptic. По имеющимся данным, помеченный объект Arkham держал 18 384,725 BTC в 10 утра по восточному времени 7 ноября, по сравнению с 18 270,2 BTC, выведенными в ходе взлома Binance, — разница составляет около 114,525 BTC, что значительно ниже показателя в 2 300 BTC. По данным news.bitcoin.com, просмотренная для этой статьи страница объекта Arkham отображала примерно 18 387 BTC на помеченных кошельках.

Сами по себе эти показания не позволяют согласовать данные двух платформ. Для сопоставления потребовалось бы сверить адреса, временные метки и сделать предположения о том, какие кошельки принадлежат атакующим. Показатель Elliptic охватывает конвертированные украденные альткоины, тогда как баланс Arkham — адреса, сгруппированные под его меткой объекта. Различия в охвате или сроках могли бы объяснить расхождение, хотя имеющиеся отчеты не устанавливают причину. Подобные расхождения — постоянная черта блокчейн-расследований, поскольку каждая аналитическая платформа применяет собственные метки объектов и правила охвата к одним и тем же базовым адресам.

Записи в блокчейне, упомянутые в отчете, показывают депозиты биткоина из хранилищ THORChain и свопы TRX через Sun.io — протокол обмена в сети TRON, — что указывает на продолжающуюся активность по отмыванию, связанную со взломом, наряду с неподвижными основными запасами биткоина и эфира.

Отмывание биткоина остается отдельным этапом от вывода средств в пригодную для использования форму. Elliptic оценивает, что лишь незначительная часть украденных активов, вероятно, достигла стадии вывода, несмотря на масштабные переводы между ними. Поскольку отчет Elliptic ведется день за днем, цифры от 7 ноября представляют собой снимок еще продолжающейся операции; последующие записи отчета вместе с опубликованными трекерами балансов, такими как страница объекта Arkham, являются текущей записью, за которой стоит следить по мере продолжения отслеживания.

Как развивался взлом и как отреагировала Binance

В результате инцидента 29 октября атакующие вывели с биржи 18 270,2 BTC. Следователи установили, что они получили несанкционированный доступ к внутреннему сервису подписания кошельковых транзакций, а Binance описала скомпрометированные устройства сотрудников и вредоносное ПО, предшествовавшие несанкционированным переводам.

После инцидента биржа заявила, что закрыла выявленные точки входа и перестроила или заменила затронутые системы. Меры реагирования включали ужесточение контроля устройств и усиление проверок кошельковых сервисов после инцидента.

Binance оценила затронутые активы примерно в $6,34 млрд в своем отчете об инциденте от 3 ноября и заявила, что зарезервировала более чем достаточно средств для покрытия финансового ущерба. Компания также сослалась на информацию ФБР, связывающую инцидент с КНДР. По ее данным, 98% пострадавших токенов было восстановлено к 31 октября, при этом продолжались закупки оставшихся неликвидных активов. Binance сообщила примерно о $2,85 млрд в замороженных или перехваченных активах, с учетом сверки и изменений рыночных цен.

Источник: Blockonomi