Хакеры, ответственные за хищение рекордных 6,3 миллиарда долларов с Binance, отмывают полученные средства способами, которые, по мнению следователей из фирмы по анализу блокчейна Chainalysis, ранее не наблюдались. Они осуществляют тысячи транзакций, что выглядит как автоматизированная попытка скрыть следы.
Эрик Джардэн, руководитель отдела исследований в Chainalysis, заявил в своем заявлении: «Мы наблюдаем беспрецедентные схемы отмывания средств». Он добавил, что большое количество транзакций за короткий промежуток времени указывает на использование злоумышленниками автоматизации для запутывания следов средств.
Вместо простого дальнейшего перемещения денег, хакеры многократно циркулируют их между различными адресами, часто отправляя обратно на кошельки, которые использовались ранее в цепочке. Многие адреса сначала получают ровно 1 TRX, нативный токен блокчейна Tron, а затем получают дополнительные средства и передают их дальше — последовательность, которую Джардэн назвал «процессным действием для перемещения и перераспределения украденных средств».
Эти выводы дополняют дискуссию, освещаемую TechCentral на прошлой неделе, относительно того, повышает ли искусственный интеллект риски для криптовалютных бирж. Chainalysis не утверждала, что ИИ участвует в схеме, лишь то, что отмывание средств является автоматизированным.
В первые минуты атаки злоумышленники опередили эмитентов стейблкоинов, таких как Tether и Circle, которые могут заморозить свои токены. За почти 20 минут они обменяли 325 миллионов долларов в стейблкоинах на 285 миллионов долларов в эфире, который не может быть заморожен эмитентами, согласно данным Chainalysis. Заморозка началась в 23:14 по времени Южной Африки 29 октября, менее чем через час после начала кражи. Chainalysis оценивает общую сумму замороженных средств примерно в 2,8 миллиарда долларов, а Binance сообщила, что обнаружила около 3 миллиардов долларов.
В субботу ФБР заявило, что за кражей «более чем на 6 миллиардов долларов» стоит Северная Корея, назвав эту деятельность TraderTraitor. Агентство США сообщило, что хакеры в основном конвертировали украденные активы «в эфириум» и настоятельно призвали криптокомпании блокировать транзакции, связанные с опубликованным списком адресов.
Президент США Дональд Трамп позже в субботу заявил, что остается неясным, замешана ли Северная Корея. Он сообщил репортерам, что «мы не знаем, Северная Корея ли это — но если это так, мы поговорим с Северной Кореей об этом». Пхеньян давно отрицает использование государственных киберподразделений для финансового мошенничества.
Chainalysis, которая оценивает ущерб примерно в 6,4 миллиарда долларов, указала, что ее самые убедительные доказательства появились, когда следователи «в режиме реального времени наблюдали, как средства, украденные с Binance, смешиваются с средствами, украденными во время эксплойта Bitget в прошлом месяце». Кража с Bitget в сентябре была приписана Северной Корее.
Клиенты Binance сняли чистый объем в размере 3,64 миллиарда долларов с биржи после того, как она начала поэтапно восстанавливать вывод средств в 8 утра по времени Южной Африки в воскресенье. К 17:30 было обработано 4,65 миллиарда долларов вывода и 1,01 миллиарда долларов депозитов, что составило чистый отток, который Binance оценила в 2,1% от своих активов под управлением в размере 171 миллиарда долларов.
Binance опубликовала в посте в X, что «после первоначального всплеска объемы вывода снизились и стабилизируются, как и ожидалось, в то время как объемы депозитов остаются существенными».
Согласно сообщению Reuters от понедельника, аналитическая платформа DefiLlama показала более высокие оттоки: сначала 4,36 миллиарда долларов, а затем 5,81 миллиарда долларов. Binance сообщила новостному агентству, что первая цифра не учитывала средства, которые были перемещены на собственный новый горячий кошелек, который использует биржа для выплаты вывода.
Binance заявила в воскресенье, что заменила около 95% украденных активов, выделив более 6,34 миллиарда долларов из собственных средств. В заявлении для TechCentral, Binance Africa сообщила, что эти деньги поступают из корпоративной казны, части ее Фонда безопасных активов для пользователей (SAFU) и части фонда страхования фьючерсов, «при этом обеспечивая, чтобы остаток фонда оставался выше требуемых уровней управления рисками».
Binance также скорректировала свой отчет о взломе. Первоначальные выводы указывали на скомпрометированный ноутбук инженера, однако, как заявили со-CEO Yi He и Richard Teng в обновлении от 30 октября, «наше последующее расследование выявило дополнительные точки взлома». Биржа пообещала предоставить отчет после инцидента, как только расследование будет завершено.
Джардэн отметил: «Криптовалютные биржи являются особенно привлекательными целями для хакеров, независимо от того, где они базируются, потому что, цитируя фразу, часто приписываемую грабителю банков Уилли Саттону, 'там, где деньги'». Он заключил, что «каждая биржа должна сохранять бдительность».
