Автоматизированный бот отмывает похищенные у Binance средства быстрее заморозки

Ончейн-исследователь SomaXBT изучил 47 644 транзакции кошельков злоумышленника, похитившего у Binance $6,36 млрд, в сетях Tron и Solana. По его подсчетам, около 54% операций явно выполнил бот, а почти все остальные тоже похожи на работу программы.

Исследователь разобрал одну волну транзакций от 3 ноября. Средства поступили с кошелька в сети Solana из списка ФБР, на котором хранилось 386 724 SOL, прошли через 34 одноразовых кошелька с интервалом в одну-две минуты, а затем четыре адреса внесли 31 976 SOL в кредитный пул Jupiter Lend. Полученные токены-квитанции передавались на свежие кошельки, которые выводили обратно SOL — монеты в блокчейне выглядели так, будто пришли из пула, а не от хакера.

Новые владельцы продали 27 060 SOL за 2,486 млн USDC через Jupiter RFQ, а 2,397 млн USDC ушли через мост Circle в сеть Noble и далее на 11 счетов биржи dYdX. Волна продолжалась с 04:37 до 08:09 МСК, а USDC ни разу не задерживались на кошельках дольше двух минут.

В сети Tron тот же оператор провел обмен 234 млн USDT за 27 минут. SomaXBT отметил, что «скрипт лишь исполняет команды, а человек им управляет»: объем сделок и маршруты денег выбирает оператор.

Адрес, с которого началась волна, числится в списке ФБР — бюро связало атаку с северокорейской группировкой TraderTraitor. Пхеньян отверг обвинения, назвав расследование «политической провокацией». Аналитики Elliptic насчитали около $3,21 млрд похищенного в BTC, ETH и других монетах, которые не поддаются заморозке.