Взлом без физического проникновения. Спустя несколько дней после массивной хакерской атаки на Binance, в мире криптовалют произошла новая крупная кража. Европейская организация потеряла более 106 миллионов долларов в воскресенье, 1 ноября. Злоумышленник опустошил несколько счетов организации на криптовалютных биржах, а затем методично заместил следы.

Ключевые моменты этой статьи:

• По данным ZachXBT, европейская организация потеряла более 106 миллионов долларов на криптовалютных биржах.
• Злоумышленник сначала вывел средства в USDC и USDT, два стейблкоина, обеспеченных долларом США.
• Затем добыча была конвертирована в эфир, а затем в Monero, криптовалюту, которая скрывает транзакции.
• ZachXBT с высокой степенью уверенности исключает причастность группы Lazarus, основываясь на признаках отмывания денег.

Как злоумышленник заместил следы?

Ончейн-следователь ZachXBT раскрыл эту историю в понедельник, 2 ноября, в сообщении для подписчиков. Его исследование шаг за шагом восстанавливает путь средств.

Сообщение, опубликованное ZachXBT в Telegram.

Жертва пока остается анонимной. Это европейская организация, которая имела счета на нескольких централизованных криптовалютных биржах.

Началом кражи стал массовый вывод средств в стейблкоинах, USDC и USDT, двух токенов, обеспеченных долларом США. Способ, которым злоумышленник опустошил счета, остается неизвестным.

Затем злоумышленник обменивал USDC на эфир. По данным аналитической платформы Lookonchain, кошелек, совершивший эти покупки, приобрел 27 553 ETH, что составляет 62,97 миллиона долларов.

Затем добыча прошла через сервисы мгновенного обмена, такие как Kyrrex и WellWallet. Эти платформы работают как автоматические обменные пункты: достаточно внести один актив, чтобы получить другой.

Затем наступил решающий этап: конвертация средств в Monero (XMR), "приватную" криптовалюту, которая скрывает отправителя, получателя и сумму каждой транзакции, через сервис Wagyu.

В сети Ethereum каждая транзакция записывается в реестр, который может прочитать каждый. Именно это позволяет восстановить путь средств, и как только они попадают в Monero, публичный след обрывается.

Другими словами, добыча покидает публичную книгу учета и попадает в непрозрачный "конверт", и, вероятно, именно поэтому злоумышленник выбрал этот вариант.

Нападавший наконец-то распределил активы через промежуточные этапы, эти инструменты, которые переносят ценность из одной блокчейн-сети в другую. Такой путь делает "сложной" возможность возврата средств для следователей.

Стоит ли подозревать группу Lazarus?

Имя Lazarus всплывает всякий раз, когда происходит крупное кражу в сфере криптовалют. Эта северокорейская группа хакеров, в частности, подозревается в взломе Bitget, который стоил 351,6 миллиона долларов в конце сентября.

На этот раз эта версия отвергается. ZachXBT с "высокой степенью уверенности" исключает причастность группы Lazarus, основываясь на нескольких признаках отмывания денег. Он пока не уточняет, о каких именно признаках идет речь.

Следователи сохраняют бдительность, поскольку одиннадцать адресов, связанных с этим делом, были обнародованы, и платформы могут продолжать отслеживать транзакции на этих адресах.

Жертва, в свою очередь, молчит. Сложно понять, как один и тот же нападавший смог взломать несколько аккаунтов на разных платформах.

Возможно, также придется дать объяснения сервисам мгновенного обмена. После взлома Binance, ФБР потребовало от THORChain заблокировать украденные средства, и компании Kyrrex и WellWallet, возможно, столкнутся с аналогичными требованиями.

Пока средства находились в стабильных монетах и эфире, они были видны в публичных реестрах. Внезапно они исчезли, превратившись в Monero, криптовалюту, курс которой уже вырос после взлома Binance. Надеемся, что платформы отреагируют быстрее, чем вор успеет отмыть деньги.