Связанные с Северной Кореей отмыватели денег создали одноразовые мемкоины, чтобы переместить около $430 000 из взлома Binance на $6,4 млрд через пулы децентрализованных бирж, согласно Elliptic.
Краткое содержание
- Отмыватели создали шесть токенов NEAR и провели украденные средства через собственные пулы ликвидности.
- Elliptic заявляет, что выплаты из пулов могут выглядеть как доход от торговли, хотя транзакции остаются отслеживаемыми.
- Следователи отследили отмывание через более чем 20 000 кошельков в 16 блокчейнах.
- Tornado Cash получил примерно 7 000 ETH, связанных с кражей, с 8 ноября.
Elliptic в отчёте Тома Робинсона от 9 ноября сообщила, что операторы выпустили FUK, OLCCL, MEILI, MMLI, DABI и SINU в период с 5 по 7 ноября. Создание каждого стоило около 25 NEAR, или $90.
Операторы объединили свои токены с NEAR в отдельных торговых пулах, а затем провели через них примерно 117 000 украденных NEAR. Похожая активность наблюдалась в Tron, а связанный маршрут через Solana использовал существующие, малоторгуемые токены.
Пулы мемкоинов делают переводы похожими на сделки
По описанию Робинсона, одна группа кошельков покупала токены с использованием украденной криптовалюты, а другая продавала токены в тот же пул и получала реальные активы. Благодаря пулу между ними кошельки не переводили средства напрямую.
В результате принимающие счета могли выглядеть как трейдеры, фиксирующие прибыль. Робинсон предупредил, что комплаенс-команды не должны считать средства чистыми только потому, что они поступают из пула ликвидности.
«След по-прежнему можно проследить в блокчейне», — говорится в отчёте.
Эта техника появилась раньше этой кражи: Elliptic выявила её использование после взлома Bybit в 2025 году. Заявленный эффект — задержать следователей, при этом дешёво созданные токены отбрасываются после использования.
Отмывание средств Binance доходит до Tornado Cash
Отдельный трекер отмывания Elliptic, обновлённый 9 ноября в 13:15 UTC, оценил операцию более чем в 20 000 кошельков в 16 блокчейнах. Его подсчёт охватывал как минимум 36 сервисов и 65 000 транзакций.
С 8 ноября связанные с кражей кошельки внесли примерно 7 000 ETH стоимостью $15 млн в Tornado Cash. Некоторые депозиты поступили из биткоинов, которые уже прошли через coinjoin-транзакции, прежде чем были конвертированы обратно в ETH.
В ходе всей операции около 3 000 BTC стоимостью $225 млн накопилось на новых адресах после конвертации из других украденных активов. Основные запасы Bitcoin и Ether не перемещались, согласно трекеру.
Около $3 млрд оставалось на связанных с кражей адресах, тогда как $2,85 млрд было заморожено. Elliptic оценила, что обналичены, вероятно, были лишь незначительные суммы.
Трекер сообщил, что ФБР 31 октября приписало кражу TraderTraitor и призвало сервисы, включая операторов THORChain, блокировать связанные транзакции.
Binance проследила взлом до компьютеров сотрудников
В отчёте Binance от 3 ноября описывается вторжение, длившееся несколько месяцев и включавшее разработческое программное обеспечение, фальшивые собеседования при найме и доступ к внутренним системам, как ранее сообщал crypto.news.
В июне, по словам биржи, более ранний инцидент с поддельной установкой Homebrew раскрыл роль инженера и его коллег.
В ходе сентябрьского процесса собеседования инженер загрузил репозиторий с заданием на рабочий компьютер. Согласно бирже, вредоносный код заменил легитимный инструмент разработки и избежал обнаружения её системами защиты конечных точек.
20 октября злоумышленник использовал скомпрометированный компьютер и внутренний ИИ-инструмент, чтобы добраться до машин двух инженеров по кошелькам. Украденные учётные данные для развёртывания контейнеров впоследствии обеспечили доступ к операциям подписи кошельков.
Биржа оценила ущерб в $6,34 млрд и заявила, что выделила сумму, превышающую полный размер ущерба, для покрытия потерь.
В отдельных технических отчетах описывалось, как вредоносные разрешения EIP-7702 позволили кошельку Ethereum выполнить код, контролируемый злоумышленником. Blockaid выявила 50 авторизаций, отправленных в одной транзакции, причем одна из них успешно совпала со счетчиком транзакций кошелька Binance 14.
Поскольку кошелек активно обрабатывал вывод средств, его счетчик постоянно менялся. Blockaid сообщила, что авторизации охватывали последовательные значения счетчика, что давало злоумышленнику несколько шансов совпасть со значением в момент выполнения транзакции.
Первоначальное расследование Binance заявило, что не обнаружило доказательств утечки приватного ключа кошелька.
Замороженные средства Arbitrum требуют голосования по управлению
Усилия по восстановлению включают запрос от 5 ноября о возврате замороженных активов, составляющих 8 425,997 ETH и 74,56 млн ARB, заблокированных в Arbitrum.
Совет безопасности сети временно обновил контракт, чтобы переместить активы на замороженный адрес, а затем восстановил исходную реализацию. Для повторного перемещения этих балансов требуется одобрение DAO.
Binance предложила вернуть существующие замороженные активы посредством временного обновления контракта, не запрашивая нового выделения средств из казны. Согласно предложению, восстановленные активы могут покрыть расходы, связанные с инцидентом, и пополнить резервы, уже использованные для компенсации клиентам.
Биржа оценила срок в семь недель или более для обсуждения, голосования и исполнения. Предложенный график включал неделю обсуждения на форуме, недельную проверку настроений, двухнедельное голосование в сети и примерно еще 18 дней до исполнения после одобрения.
