Следователи Chainalysis оценивают взлом Binance на сумму 6,4 миллиарда долларов — крупнейший в истории криптовалют и один из крупнейших финансовых преступлений всех времен — как дело рук северокорейской киберпреступной группы TraderTraitor. Эта группа неоднократно атаковала криптовалютную индустрию, биржи, DeFi-протоколы и инвесторов с целью сбора средств для режима.
Мы основываем нашу разведывательную оценку на ончейн-активности, зафиксированной в часы после взлома.
С самого начала: около 16:20 по восточному времени 29 октября средства начали покидать горячие кошельки Binance в нескольких блокчейнах. В сети Ethereum злоумышленник использовал операционный кошелек, пополненный через Tornado Cash, для отправки действительных подписанных авторизаций, которые позволили горячему кошельку Binance запустить развернутый злоумышленником код. Затем злоумышленник обратился к этому кошельку, чтобы перевести его активы на подконтрольные ему адреса, в то время как другие затронутые кошельки Binance, по-видимому, отправляли средства посредством обычных подписанных переводов. На всех затронутых блокчейнах общая сумма несанкционированных переводов составила приблизительно 6,4 миллиарда долларов США.
В этот момент злоумышленник вел гонку со временем. В то время как миллиарды долларов в криптовалюте под их контролем были номинированы в криптовалютах, которые невозможно заморозить, таких как Bitcoin и Ethereum, еще миллиарды хранились в стейблкоинах, таких как USDT и USDC, которые можно заморозить. Это был лишь вопрос времени, когда эмитенты этих стейблкоинов заморозят эти средства — в координации с правоохранительными органами и партнерами по индустрии, такими как Chainalysis.
Заморозка средств требует времени. Злоумышленник попытался опередить этот процесс, быстро переведя 500 миллионов долларов в стейблкоинах на кошелек, задача которого заключалась в обмене этих активов, подлежащих заморозке, на активы, которые заморозить нельзя. Почти за 20 минут он обменял 325 миллионов долларов в стейблкоинах на 285 миллионов долларов в ETH. Десять минут спустя взломщик отправил оставшиеся 175 миллионов долларов в стейблкоинах на промежуточные кошельки, вероятно, пытаясь опередить внесение в черный список или заморозку. Но индустрия отреагировала быстрее, чем они ожидали: к 17:14 по восточному времени начались заморозки.
В различных блокчейнах следователи Chainalysis, правоохранительные органы, эмитенты стейблкоинов и другие участники индустрии стремились заморозить украденные средства до того, как злоумышленник успеет конвертировать их в активы, находящиеся вне контроля эмитентов. Большая часть этой работы выполнялась независимо, организации действовали параллельно. Chainalysis упреждающе делилась результатами расследования с партнерами по индустрии, чтобы помочь выявить и заморозить украденные средства. На данный момент заморожено около 2,8 миллиарда долларов. Хотя это не умаляет масштабов кражи, реакция показывает, что индустрия все больше способна действовать оперативно как самостоятельно, так и сообща.
Смешанные средства усиливают связь с TraderTraitor
Несколько схем отмывания денег изначально указывали на то, что TraderTraitor несет ответственность за кражу на Binance. Самое веское доказательство появилось, когда следователи Chainalysis в режиме реального времени заметили, что средства, украденные с Binance, смешиваются со средствами, украденными в результате прошлого взлома Bitget, который был приписан северокорейским хакерам. Эта прямая ончейн-связь укрепила нашу оценку в том, что именно TraderTraitor осуществила взлом Binance, о чем мы объявили 30 октября в 00:30 по восточному времени.
Схемы отмывания указывают на автоматизацию
Поскольку следователи Chainalysis продолжают отслеживать средства, украденные с Binance, мы наблюдаем схемы отмывания, с которыми раньше не сталкивались. Тысячи транзакций за короткий период времени свидетельствуют о том, что злоумышленники используют автоматизацию, чтобы запутать следы средств. Вместо того чтобы просто переводить средства дальше, они многократно циркулируют их между адресами, часто возвращая средства на адреса, участвовавшие в цепочке ранее.
Многие адреса следуют одному и тому же паттерну: они получают ровно 1 TRX, затем получают дополнительные средства, а затем пересылают средства на другие адреса. Эта повторяющаяся последовательность указывает на программный процесс перемещения и перераспределения украденных средств.
Расследование продолжается
Расследование продолжается, и мы ожидаем, продолжения движения украденных средств в ближайшие дни. Chainalysis стремится оказывать поддержку Binance и всей индустрии в целом по мере отслеживания украденных средств, пресечения дальнейшего отмывания и работы по минимизации дополнительных потерь.
Криптобиржи остаются привлекательными мишенями для хакеров, поскольку они хранят значительные средства, независимо от того, где они осуществляют свою деятельность. Хотя этот инцидент беспрецедентен по своим масштабам, атаки на биржи не являются чем-то новым. Каждая биржа должна сохранять бдительность и быть готовой быстро отреагировать в случае атаки.
Клиенты Chainalysis могут использовать наши решения для выявления связи с адресами, связанными с этим инцидентом. Мы продолжим следить за движением средств и обновлять метки по мере появления новой информации. Чтобы узнать, как Chainalysis может помочь вашей организации выявить риски и отследить средства, свяжитесь с нашей командой.
Этот веб-сайт содержит ссылки на сторонние сайты, которые не контролируются Chainalysis, Inc. или ее аффилированными лицами (совместно именуемыми «Chainalysis»). Доступ к такой информации не означает ассоциации, одобрения, поддержки или рекомендации со стороны Chainalysis в отношении сайта или его операторов, и Chainalysis не несет ответственности за продукты, услуги или другой контент, размещенный на них.
Этот материал носит исключительно информационный характер и не предназначен для предоставления юридических, налоговых, финансовых или инвестиционных консультаций. Получатели должны проконсультироваться со своими собственными советниками перед принятием решений такого рода. Chainalysis не несет никакой ответственности за любые принятые решения или любые другие действия или бездействия в связи с использованием Получателем данного материала.
Chainalysis не гарантирует и не ручается за точность, полноту, своевременность, пригодность или достоверность информации в этом отчете и не несет ответственности за любые претензии, обусловленные ошибками, упущениями или другими неточностями в любой части такого материала.
