За даними Elliptic, пов'язані з Північною Кореєю відмивачі грошей створили одноразові мемкоїни, щоб перемістити близько 430 000 доларів із злому Binance на 6,4 мільярда доларів через пули децентралізованих бірж.
Резюме
- Відмивачі створили шість токенів NEAR і спрямували викрадені кошти через власні пули ліквідності.
- Elliptic заявляє, що виплати з пулів можуть виглядати як торгові надходження, хоча транзакції залишаються відстежуваними.
- Слідчі відстежили відмивання через понад 20 000 гаманців у 16 блокчейнах.
- Tornado Cash отримав приблизно 7 000 ETH, пов'язаних із крадіжкою, з 8 листопада.
У звіті Elliptic від 9 листопада, підготовленому Томом Робінсоном, йдеться, що оператори викарбували FUK, OLCCL, MEILI, MMLI, DABI та SINU між 5 і 7 листопада. Створення кожного коштувало близько 25 NEAR, або 90 доларів.
Оператори об'єднали свої токени з NEAR в окремих торгових пулах, а потім спрямували через них приблизно 117 000 викрадених NEAR. Подібна активність спостерігалася на Tron, тоді як пов'язаний маршрут через Solana використовував наявні токени з низькою торгівлею.
Пули мемкоїнів роблять перекази схожими на торгівлю
За словами Робінсона, одна група гаманців купувала токени за допомогою викраденої криптовалюти, тоді як інша продавала токени в той самий пул і збирала реальні активи. Маючи пул між собою, гаманці не переказували кошти безпосередньо.
Отже, рахунки-одержувачі могли виглядати як трейдери, що фіксують прибуток. Робінсон попередив, що комплаєнс-команди не повинні вважати кошти чистими лише тому, що вони надходять із пулу ліквідності.
«Слід усе ще можна простежити в блокчейні», — йдеться у звіті.
Ця техніка існувала ще до цієї крадіжки: Elliptic виявила її використання після злому Bybit у 2025 році. Заявлений ефект полягає в тому, щоб затримати слідчих, а дешево створені токени відкидаються після використання.
Відмивання коштів Binance сягає Tornado Cash
Окремий трекер відмивання Elliptic, оновлений 9 листопада о 13:15 UTC, оцінив операцію в понад 20 000 гаманців у 16 блокчейнах. Його підрахунок охоплював щонайменше 36 сервісів і 65 000 транзакцій.
З 8 листопада гаманці, пов'язані з крадіжкою, внесли приблизно 7 000 ETH вартістю 15 мільйонів доларів у Tornado Cash. Деякі депозити надійшли з біткоїнів, які вже пройшли через транзакції coinjoin, перш ніж бути конвертованими назад в ETH.
Загалом в рамках операції близько 3 000 BTC вартістю 225 мільйонів доларів накопичилося на нових адресах після конвертації з інших викрадених активів. Основні запаси Bitcoin та Ether не рухалися, згідно з трекером.
Близько 3 мільярдів доларів залишалося на адресах, пов'язаних із крадіжкою, тоді як 2,85 мільярда доларів було заморожено. Elliptic оцінила, що ймовірно було обготівковано лише незначну суму.
Трекер зазначив, що ФБР 31 жовтня приписало крадіжку TraderTraitor і закликало сервіси, зокрема операторів THORChain, блокувати пов'язані транзакції.
Binance простежила злам до комп'ютерів співробітників
У звіті Binance від 3 листопада описано вторгнення, що тривало місяцями, із залученням програмного забезпечення для розробників, фальшивих співбесід під час найму та доступу до внутрішніх систем, як раніше повідомляло crypto.news.
У червні, за словами біржі, попередній інцидент із підробленим встановленням Homebrew викрив роль інженера та його колег.
Під час процесу співбесіди у вересні інженер завантажив репозиторій із завданням на робочий комп'ютер. За даними біржі, шкідливий код замінив легітимний інструмент розробки та уникнув виявлення її системами безпеки кінцевих точок.
20 жовтня зловмисник використав скомпрометований комп'ютер і внутрішній AI-інструмент, щоб дістатися до машин двох інженерів гаманців. Викрадені облікові дані для розгортання контейнерів згодом надали доступ до операцій підпису гаманців.
Біржа оцінила збитки в 6,34 мільярда доларів і заявила, що виділила більше ніж повну суму для покриття втрат.
Окремі технічні висновки описували, як шкідливі дозволи EIP-7702 дозволили гаманцю Ethereum виконувати код, контрольований зловмисником. Blockaid виявив 50 авторизацій, поданих в одній транзакції, причому одна з них успішно збіглася з лічильником транзакцій гаманця Binance 14.
Оскільки гаманець активно обробляв виведення коштів, його лічильник постійно змінювався. Blockaid заявив, що авторизації охоплювали послідовні значення лічильника, що дало зловмиснику кілька шансів збігтися зі значенням під час виконання транзакції.
Початкове розслідування Binance заявило, що не знайшло доказів витоку приватного ключа гаманця.
Заморожені кошти Arbitrum потребують голосування в управлінні
Зусилля з відновлення включають запит від 5 листопада щодо повернення заморожених активів, що складаються з 8 425,997 ETH та 74,56 мільйона ARB, заблокованих в Arbitrum.
Рада безпеки мережі тимчасово оновила контракт, щоб перемістити активи на заморожену адресу, а потім відновила початкову реалізацію. Для повторного переміщення цих балансів потрібне схвалення DAO.
Binance запропонувала повернути наявні заморожені активи через тимчасове оновлення контракту, не вимагаючи нового виділення коштів з казни. Згідно з пропозицією, відновлені активи могли б покрити витрати, пов'язані з інцидентом, і поповнити резерви, вже використані для компенсації клієнтам.
Біржа оцінила, що обговорення, голосування та виконання триватимуть сім тижнів або довше. Запропонований графік включав тиждень обговорення на форумі, тижневу перевірку настроїв, двотижневе голосування ончейн і приблизно ще 18 днів до виконання після схвалення.
