Почти полностью автоматизированная система отмывает средства, похищенные при взломе Binance на $6,36 млрд, и за считанные минуты перегоняет деньги через новые кошельки и общие пулы. Для биржи это сокращает шансы вернуть украденное, а открытые DeFi-сервисы рискуют невольно стать звеном в преступной схеме. Ончейн-исследователь SomaXBT пришел к такому выводу, проанализировав 47 644 транзакции кошельков злоумышленника в The post Бот отмывает украденные у Binance миллиарды быстрее заморозки appeared first on BeInCrypto.
Почти полностью автоматизированная система отмывает средства, похищенные при взломе Binance на $6,36 млрд, и за считанные минуты перегоняет деньги через новые кошельки и общие пулы. Для биржи это сокращает шансы вернуть украденное, а открытые DeFi-сервисы рискуют невольно стать звеном в преступной схеме.
Хотите еще эксклюзивных новостей и аналитики? Подписывайтесь на наш телеграм-канал, обсуждайте новости и делитесь мнениями о последних событиях рынка в чате!
Ончейн-исследователь SomaXBT пришел к такому выводу, проанализировав 47 644 транзакции кошельков злоумышленника в сетях Tron и Solana. По его подсчетам, около 54% операций явно выполнил бот, почти все остальные тоже похожи на работу программы, а человеку остается небольшая, но решающая роль.
SomaXBT разобрал одну волну операций, осуществленных 3 ноября. Деньги поступили с кошелька в сети Solana из списка ФБР, на котором хранилось 386 724 SOL. Средства сначала прошли через 34 одноразовых кошелька и часто перескакивали на новый каждые одну-две минуты.
Затем четыре адреса злоумышленника внесли 31 976 SOL восемью депозитами в Jupiter Lend — общий кредитный пул, которым пользуется множество людей. Хакер получал за каждый вклад токен-квитанцию и передавал ее на один из четырех свежих кошельков, а те пятью операциями получали SOL обратно. Эти монеты теперь выглядят в блокчейне так, будто пришли из пула Jupiter, а не от хакера.
Новые владельцы продали 27 060 SOL за 2,486 млн USDC в 18 сделках через Jupiter RFQ — режим, в котором заявку исполняет маркетмейкер, он же оплачивает комиссию сети. Почти вся выручка — 2,397 млн USDC — затем ушла через мост Circle в сеть Noble и дальше на 11 счетов децентрализованной биржи dYdX.
Волна длилась с 04:37 до 08:09 МСК. Первая продажа прошла в 05:18, следующие шли примерно каждые девять минут, а после каждой сделки USDC покидали Solana за 16–123 секунды, а в среднем за полминуты. Доллары ни разу не задерживались на кошельке, где их можно заморозить, дольше двух минут.
Почерк схемы хорошо виден на примере одной цепочки. В 05:04 МСК кошелек в 12 шагах от адреса из списка ФБР внес в Jupiter Lend 3000 SOL, а через 42 секунды — еще 3201 SOL. Спустя 23 секунды свежий адрес получил квитанцию и еще через 40 секунд вывел те самые 6201 SOL.
В 05:28 он продал 990 SOL за 91 154,09 USDC, а через 19 секунд отправил 91 154,07 USDC на свой постоянный счет в dYdX. Через восемь минут последовала новая продажа с того же адреса. По оценке SomaXBT, десятки новых кошельков повторяют этот шаблон с одинаковыми настройками транзакций и с разницей в секунды, поэтому, скорее всего, вся операция по отмыванию средств осуществляется через один инструмент.
Автор подчеркнул, что «скрипт лишь исполняет команды, а человек им управляет»,. Каждая продажа идет на круглую сумму в SOL — значит, объем выбирает оператор, он же решает, когда начинать волну и каким маршрутом пускать деньги. В сети Tron именно оператор руководил обменом 234 млн USDT, осуществленным за 27 минут, чтобы опередить эмитентов, способных заморозить токены.
Как объясняет исследователь, злоумышленник держит кошелек из списка ФБР подальше от сервисов, проверяющих адреса, уводит средства на 7–10 шагов через новые кошельки и общий пул, а затем за минуты продает и выводит их в другую сеть. Скрипт, работающий без перерыва, справляется с этим быстрее, чем срабатывают проверки и происходят заморозки. SomaXBT оговорился, что вывод об автоматизации сделан по времени операций и повторяющимся настройкам, а не подтвержден официально. Jupiter, Circle, Noble, dYdX и маркетмейкеры, по его словам, лишь служили транзитом, и ничто не указывает на их участие в схеме.
Адрес, с которого началась волна, входит в список ФБР: бюро связало атаку с северокорейской группой TraderTraitor и призвало криптокомпании не проводить транзакции через эти кошельки — именно в обход таких проверок и выводят деньги. Пхеньян отверг обвинения: сестра лидера КНДР Ким Е Чжон назвала расследование «политической провокацией», однако американские ведомства продолжают требовать от бирж замораживать связанные со взломом средства.
Скорость блокировки волнует и регуляторов: глава Custodia Bank Кейтлин Лонг ожидает, что регуляторы США потребуют встроить механизм заморозки прямо в смарт-контракты стейблкоинов. Однако на примере разобранной волны видны пределы такого подхода: стейблкоины задерживаются на доступных для блокировки кошельках лишь минуты, тогда как аналитики Elliptic насчитали около $3,21 млрд похищенного в BTC, ETH и других монетах, которые не поддаются заморозке.
Хотите получить доступ к экспертным инсайдам? Подписывайтесь на наш новостной телеграм-канал, а также вступайте в сообщество BeInCrypto! Читайте последние новости и свежую аналитику криптовалют, ИИ и фондовых рынков. Будьте на шаг впереди толпы каждый день!
The post Бот отмывает украденные у Binance миллиарды быстрее заморозки appeared first on BeInCrypto.
JOIN
