Аналитики оценили, как хакеры будут отмывать украденные $6 млрд у Binance

Хакерам, взломавшим криптобиржу Binance, предположительно, потребуются месяцы, чтобы отмыть похищенные миллиарды долларов. Об этом пишет Financial Times со ссылкой на аналитиков. Эксперты связывают взлом с северокорейской хакерской группировкой.

В воскресенье ФБР возложило ответственность за кражу $6,3 млрд на хакерскую группировку из КНДР TraderTraitor. По оценке бюро, похищенные активы будут широко использоваться в разных схемах отмывания денег, прежде чем их смогут обналичить. При этом из первоначально похищенных $6,3 млрд под контроль группировки перешли только $3,3 млрд, поскольку часть токенов удалось заморозить. Несмотря на то, что хакеры сразу приступили к отмыванию криптовалюты с применением автоматизированных инструментов для проведения тысяч транзакций, эксперты считают, что этот процесс займет месяцы или даже годы.

Преступники для сокрытия следов перемещают средства небольшими суммами через множество площадок. «На это уйдут недели, месяцы, а возможно, даже годы... Они будут долго хранить эти средства и искать возможности для их обналичивания», — заявил старший директор по глобальным услугам аналитической компании Chainalysis Фил Ларратт. Сооснователь Chainalysis Джонатан Левин заявил, что у хакеров «слишком много денег, чтобы их могли обработать привычные им площадки для отмывания средств». В связи с этим, по его словам, преступники разбивают похищенные средства на более мелкие суммы, направляя их «через более широкую сеть сервисов».

Как пишет FT, ключевую роль в отмывании денег играют децентрализованные кредитные платформы и сервисы обмена криптовалют. Хакеры пользуются ими для конвертации похищенных активов в другие виды криптовалют. Для ускорения перемещения денег и затруднения их отслеживания злоумышленники применяют сложные методы автоматизации, распределяя активы по тысячам новых криптокошельков.

При отмывании денег также был задействован блокчейн Tron, созданный криптомиллиардером и спонсором президента США Дональда Трампа Джастином Саном. По данным аналитической компании Elliptic, к выходным каждый похищенный в токенах доллар, отмытый через Tron, переместился девять раз. При этом в субботу транзакции с похищенными с Binance активами проходили каждые три секунды. Предположительно, преступники не используют агентный ИИ для перевода средств, задействуя обычные программные средства автоматизации, считает сооснователь Elliptic Том Робинсон. По его словам, в операциях наблюдались «паузы, характерные для рабочего ритма человека».

По данным компании, спустя несколько минут после кражи хакеры обменяли USDT на сумму $434 млн на эфир на децентрализованных биржах, а также заняли эфир на $45 млн под залог похищенных USDT на децентрализованной кредитной платформе Aave. Затем злоумышленники воспользовались биржей SunSwap, чтобы конвертировать USDT на сумму $234 млн в TRX, собственный токен блокчейна Tron. Около $215 млн в токенах TRX были разделены по 7,7 тыс. новых адресов криптокошельков. По пути TRX был обменен на стейблкоин USDD. Затем хакеры воспользовались кроссчейн-мостами для конвертации токенов в эфир. По данным Elliptic, из сети Tron таким образом было выведено не менее $147 млн. Кроме того, хакеры прибегали и к миксерам — токены из разных источников объединяются в общий пул, в связи с чем разрывается видимая связь между поступившими и выведенными средствами. Для обналичивания хакерам в конечном итоге придется воспользоваться криптовалютными биржами или брокерами, которые не проводят проверку клиентов, считают в Elliptic.

В то же время Binance продолжает расследовать, как хакерам удалось скомпрометировать ее системы, в сотрудничестве с ФБР и аналитическими компаниями. Также биржа пообещала возместить пользователям похищенные токены из собственных средств. Взлом Binance, в результате которого были похищены криптовалюты на $6,3 млрд, стал крупнейшей кражей в истории криптобирж. Вся операция по выводу крупных сумм из горячих кошельков Binance продлилась всего около 20 минут. Первоначально Binance сообщила, что злоумышленники получили доступ через ноутбук одного из разработчиков. Позднее глава биржи Ричард Тенг признал, что у атаки были и другие точки проникновения в инфраструктуру. По его словам, хакеры использовали инструменты, которые автоматически стирали следы взлома.

При этом президент США Дональд Трамп заявил, что Вашингтон обсудит с Пхеньяном хищение денег, если будет подтверждена его причастность к кибератаке. «Мы изучаем этот вопрос. Мы не знаем, КНДР ли это. Но если это так, мы поговорим об этом с Северной Кореей», — сказал Трамп. Сестра северокорейского лидера Ким Чен Ына, заведующая отделом ЦК Трудовой партии Кореи Ким Ё Чен заявила, что сообщения о причастности КНДР к взлому безосновательны и являются политической провокацией со стороны США. «Федеральное бюро расследований (ФБР) США пытается очернить нас как „государство киберпреступности“, говоря, что получило информацию о причастности к событию хакерской организации, которая получает так называемую поддержку КНДР. Но выступления США — безосновательный вздор и не новы», — говорится в сообщении, опубликованном в ЦТАК.