Elliptic: 3,1 mld USD z ataku na Binance nie zostało wyppranych, wykryto złożoną automatyzację

Aż 3,11 miliarda dolarów z ubiegłomiesięcznego ataku na Binance o wartości 6,43 miliarda dolarów nadal znajduje się w portfelach powiązanych z kradzieżą – wynika z zaktualizowanego raportu firmy analitycznej Elliptic zajmującej się blockchainem. Choć emitenci tacy jak Tether i Circle zdołali zamrozić lub przejąć 2,85 miliarda dolarów w ciągu godziny od incydentu, pozostałe, niewyprane środki – trzymane głównie w Etherze i Bitcoinie – są „bardzo prawdopodobnie” nadal w rękach Korei Północnej, co FBI przypisuje grupie hakerskiej znanej jako TraderTraitor (choć Korea Północna zaprzeczyła swoim powiązaniom), jak podaje Decrypt.

Co się stało

Jak podaje Decrypt, powołując się na piątkowy raport Elliptic, dotychczas przeprowadzone operacje prania pieniędzy były „wysoce złożone i wyraźnie zautomatyzowane”. W ramach tej aktywności wykorzystano ponad 20 000 portfeli w 16 łańcuchach bloków, przepuszczając środki przez co najmniej 36 usług w ramach 65 000 transakcji – co przekłada się na około jeden nowy portfel tworzony co 30 sekund. Pomimo spekulacji, że kapitałem sterują autonomiczni agenci sztucznej inteligencji, Elliptic stwierdziło, że dowody wskazują na konwencjonalną automatyzację, a nie podejmowanie decyzji przez sztuczną inteligencję.

Skala przemieszczania aktywów jest ogromna. Decrypt zauważa, że około 220 milionów dolarów w skradzionym TRX przeszło przez sieć Tron za pośrednictwem pojedynczego portfela dystrybucyjnego, a wszystkie 87 milionów dolarów w skradzionej Solanie zostało już wymienione, zmostkowane lub zmiksowane. Ponadto zaczęło przemieszczać się około 50 milionów dolarów w skradzionym XRP, w dużej mierze wymienionym za pośrednictwem THORChain na Bitcoina. Bitcoin skonwertowany z innych skradzionych aktywów wynosi obecnie w przybliżeniu 1 650 BTC o wartości 124 milionów dolarów. Tymczasem pierwotne części łupu – takie jak 18 270 BTC i dziewięć największych adresów Ethereum – pozostają całkowicie nieruchome od końca października. Z kolei The Block podaje, że Binance kontynuuje przywracanie swojej platformy, planując kolejne wznowienia wypłat.

Dlaczego to ważne dla małych zespołów kryptowalutowych i twórców protokołów

Jako operatorów małych protokołów kryptowalutowych, aplikacji DeFi czy hybrydowych konfiguracji opartych na AI i blockchainie, takie historie stanowią surowe przypomnienie o systemowych podatnościach i presji związanej z przestrzeganiem przepisów. Kiedy aktorzy sponsorowani przez państwo wdrażają zautomatyzowane skrypty w 16 łańcuchach bloków i 36 usługach, każdy połączony protokół staje się potencjalnym punktem zwrotnym dla płynności. Dobrą wiadomością jest to, że scentralizowani emitenci stablecoinów zamrozili 44% łupu niemal natychmiast – co stanowi ogromny skok w szybkości reakcji na incydenty w porównaniu z atakiem na Bybit. Jednak mosty międzyłańcuchowe i narzędzia zwiększające prywatność, takie jak THORChain czy miksery w stylu Wasabi, pozostają głównymi celami zaciemniania pochodzenia środków. Jeśli Twój mały zespół wdraża inteligentne kontrakty lub zarządza aktywami skarbca, incydent ten pokazuje, dlaczego monitorowanie w czasie rzeczywistym i niezawodne śledzenie międzyłańcuchowe nie są już opcjonalne.

Co zrobić w tym tygodniu

1. Przejauduj integracje mostów międzyłańcuchowych swojego protokołu i upewnij się, że masz gotowe mechanizmy natychmiastowego zamrażania lub wstrzymywania na wypadek nietypowych napływów.
2. Przejrzyj konfiguracje multi-sig skarbca swojego zespołu i wdróż automatyczne powiadomienia o nietypowej prędkości transakcji lub interakcjach ze znanymi usługami miksującymi.
3. Przetestuj swój plan reagowania na incydenty, aby sprawdzić, jak szybko Twój mały zespół może namierzyć i oznaczyć zhakowane lub podejrzane adresy portfeli próbujące wchodzić w interakcje z Twoimi inteligentnymi kontraktami.

Źródła

• $3.1B in Stolen Binance Crypto Has Yet to Be Laundered: Elliptic — Decrypt
• Elliptic says Binance hackers swapped stolen tokens for $124M in bitcoin, exchange plans more withdrawal reopenings — The Block