Według Elliptic, powiązani z Koreą Północną osoby zajmujące się praniem pieniędzy stworzyły jednorazowe memecoiny, aby przenieść około 430 000 dolarów z 6,4-miliardowego hacku Binance przez pule giełd zdecentralizowanych.
Podsumowanie
- Pranie pieniędzy polegało na utworzeniu sześciu tokenów NEAR i przeprowadzeniu skradzionych środków przez własne pule płynności.
- Elliptic twierdzi, że wypłaty z puli mogą przypominać zyski z handlu, choć transakcje pozostają możliwe do prześledzenia.
- Śledczy prześledzili pranie pieniędzy przez ponad 20 000 portfeli w 16 blockchainach.
- Tornado Cash otrzymało około 7 000 ETH powiązanych z kradzieżą od 8 listopada.
Elliptic, w raporcie Toma Robinsona z 9 listopada report, podało, że operatorzy wyemitowali FUK, OLCCL, MEILI, MMLI, DABI i SINU między 5 a 7 listopada. Utworzenie każdego z nich kosztowało około 25 NEAR, czyli 90 dolarów.
Operatorzy połączyli swoje tokeny z NEAR w oddzielnych pulach handlowych, a następnie przeprowadzili przez nie około 117 000 skradzionych NEAR. Podobna działalność pojawiła się na Tronie, podczas gdy powiązana trasa Solana wykorzystywała istniejące, słabo handlowane tokeny.
Pule memecoinów sprawiają, że przelewy wyglądają jak transakcje
Według relacji Robinsona jedna grupa portfeli kupowała tokeny za pomocą skradzionej kryptowaluty, podczas gdy inna sprzedawała tokeny do tej samej puli i odbierała rzeczywiste aktywa. Dzięki puli między nimi portfele nie dokonywały bezpośredniego transferu środków.
W rezultacie konta odbierające mogły przypominać traderów realizujących zyski. Robinson ostrzegł, że zespoły ds. zgodności nie powinny zakładać, że środki są czyste tylko dlatego, że pochodzą z puli płynności.
„Ślad nadal można prześledzić on-chain” – podano w raporcie.
Technika ta jest starsza niż ta kradzież: Elliptic zidentyfikowało jej użycie po hacku Bybit w 2025 roku. Jej deklarowanym efektem jest opóźnianie śledczych, a tanio tworzone tokeny są porzucane po użyciu.
Pranie pieniędzy z Binance dociera do Tornado Cash
Oddzielny laundering tracker Elliptic, zaktualizowany 9 listopada o 13:15 UTC, oszacował operację na ponad 20 000 portfeli w 16 blockchainach. Jego liczba obejmowała co najmniej 36 usług i 65 000 transakcji.
Od 8 listopada portfele powiązane z kradzieżą wpłaciły około 7 000 ETH, o wartości 15 milionów dolarów, do Tornado Cash. Niektóre wpłaty pochodziły z bitcoinów, które przeszły już przez transakcje coinjoin, zanim zostały ponownie wymienione na ETH.
W całej operacji około 3 000 BTC o wartości 225 milionów dolarów zgromadzono na nowych adresach po konwersji z innych skradzionych aktywów. Według trackera główne zasoby Bitcoin i Ether nie zostały ruszone.
Około 3 miliardy dolarów pozostało na adresach powiązanych z kradzieżą, podczas gdy 2,85 miliarda dolarów zamrożono. Elliptic oszacowało, że prawdopodobnie tylko znikoma kwota została wypłacona w gotówce.
Tracker podał, że FBI przypisało kradzież TraderTraitor 31 października i wezwało usługi, w tym operatorów THORChain, do blokowania powiązanych transakcji.
Binance prześledziło naruszenie do komputerów pracowników
Opis Binance z 3 listopada przedstawiał trwające miesiącami wtargnięcie obejmujące oprogramowanie deweloperskie, fałszywe rozmowy rekrutacyjne i dostęp do systemów wewnętrznych, jak wcześniej informował crypto.news.
W czerwcu wcześniejsze zdarzenie z udziałem zmodyfikowanej instalacji Homebrew ujawniło rolę inżyniera i jego współpracowników – podała giełda.
Podczas procesu rozmowy kwalifikacyjnej we wrześniu inżynier pobrał repozytorium z zadaniem na komputer służbowy. Według giełdy złośliwy kod zastąpił legalne narzędzie deweloperskie i uniknął wykrycia przez jej systemy bezpieczeństwa punktów końcowych.
20 października atakujący wykorzystał przejęty komputer i wewnętrzne narzędzie AI, aby dotrzeć do maszyn dwóch inżynierów ds. portfeli. Skradzione dane uwierzytelniające do wdrażania kontenerów zapewniły następnie dostęp do operacji podpisywania portfeli.
Giełda oszacowała wpływ na 6,34 miliarda dolarów i podała, że odłożyła więcej niż pełną kwotę na pokrycie strat.
Odrębne ustalenia techniczne opisywały, w jaki sposób złośliwe uprawnienia EIP-7702 umożliwiły portfelowi Ethereum wykonanie kodu kontrolowanego przez atakującego. Blockaid zidentyfikował 50 autoryzacji przesłanych w jednej transakcji, z których jedna pomyślnie dopasowała się do licznika transakcji portfela Binance 14.
Ponieważ portfel aktywnie przetwarzał wypłaty, jego licznik stale się zmieniał. Blockaid podał, że autoryzacje obejmowały kolejne wartości licznika, dając atakującemu wiele szans na dopasowanie wartości w momencie wykonania transakcji.
Wstępne dochodzenie Binance stwierdziło, że nie znalazło dowodów na wyciek klucza prywatnego portfela.
Zamrożone środki Arbitrum wymagają głosowania zarządu
Działania naprawcze obejmują wniosek z 5 listopada o zwrot zamrożonych aktywów, obejmujących 8 425,997 ETH i 74,56 mln ARB unieruchomionych na Arbitrum.
Rada Bezpieczeństwa sieci tymczasowo zaktualizowała kontrakt, aby przenieść aktywa na zamrożony adres, a następnie przywróciła pierwotną implementację. Ponowne przeniesienie tych sald wymaga zatwierdzenia przez DAO.
Binance zaproponował zwrot istniejących zamrożonych aktywów poprzez tymczasową aktualizację kontraktu, bez ubiegania się o nową alokację ze skarbca. Odzyskane aktywa mogłyby pokryć koszty związane z incydentem i uzupełnić rezerwy już wykorzystane na odszkodowania dla klientów, zgodnie z wnioskiem.
Giełda szacowała siedem tygodni lub dłużej na dyskusję, głosowanie i wykonanie. Jej proponowany harmonogram obejmował tydzień dyskusji na forum, tygodniową kontrolę temperatury, dwutygodniowe głosowanie onchain oraz około 18 dodatkowych dni przed wykonaniem po zatwierdzeniu.
