Следователи отследили повторяющиеся переводы между адресами, в том числе возвраты средств на кошельки, использовавшиеся ранее в этой цепочке. Многие адреса сначала получали ровно 1 TRX — собственный токен Tron, используемый для оплаты комиссий за транзакции, — а затем принимали дополнительные средства и пересылали активы в другие места. Chainalysis добавила: «Эта повторяющаяся последовательность указывает на программный процесс перемещения и перераспределения похищенных средств».
Следователи отслеживают доступ и связь с Северной Кореей
Со-генеральный директор Binance Ричард Тенг раскрыл дополнительные точки взлома и обходные пути в системе контроля одобрений, а также механизм самоуничтожения, который уничтожал инструменты и следы. Chainalysis отследила отток средств до примерно 16:20 по восточному времени 29 октября и выявила кошелек Ethereum, пополненный через Tornado Cash — криптовалютный миксер, который скрывает связи между поступлениями и выводами средств. Этот кошелек предоставил действительные подписанные авторизации, или криптографически подписанные разрешения, что позволило «горячему» кошельку Binance запустить программное обеспечение, развернутое злоумышленниками, и перевести активы на адреса, контролируемые злоумышленниками.
Схемы отмывания средств изначально указывали на причастность Tradertraitor — северокорейской киберпреступной группировки. Затем Chainalysis обнаружила, что похищенные активы Binance смешались с доходами от сентябрьского ограбления Bitget, которое ранее приписывалось северокорейским злоумышленникам, что укрепило предположение о причастности Tradertraitor к данному взлому. Кроме того, TRM Labs с высокой степенью уверенности приписала атаку на Binance группе Tradertraitor, сославшись на данные, полученные как в цепочке блоков, так и за ее пределами.
Обмен стабильных монет — гонка против заморозки активов
Chainalysis пояснила:
«Замораживание средств требует времени. Злоумышленник попытался опередить этот процесс, быстро переместив 500 миллионов долларов в стабильных монетах в кошелек, задача которого заключалась в обмене этих подлежащих замораживанию активов на активы, которые не подлежат замораживанию».
Такие меры по замораживанию стейблкоинов и внесению в черный список позволяют предотвратить перевод затронутых токенов с указанных адресов, в то время как у нативного эфира нет аналогичного механизма, контролируемого эмитентом.
В течение почти 20 минут кошелек обменял 325 млн долларов в стабильных монетах на примерно 285 млн долларов в эфире, а через 10 минут перевел оставшиеся 175 млн долларов на промежуточные кошельки. Замораживание началось в 17:14 по восточному времени 29 октября; по данным Chainalysis, на 30 октября в системе было заморожено около 2,8 млрд долларов. Binance отдельно оценила общую сумму в тот день примерно в 3 млрд долларов.
Биржа также сообщила, что зарезервировала более 6,34 млрд долларов из средств компании для покрытия убытков, связанных с инцидентом, не включая замороженные активы. Из этой суммы 5 млрд долларов уже были вложены в затронутые инцидентом токены. Для покрытия остальных активов велись покупки через биржевые и внебиржевые каналы.
news.bitcoin.com
