Кража у Binance, первая неделя: 71 BTC через THORChain и адрес, общий с делом Bitget

Неделю назад мы писали о краже у Binance с точки зрения хранения средств. Это продолжение с точки зрения отслеживания: куда ушли деньги, которые мы можем проследить, и одна деталь, которую мы больше нигде не видели.

Что с Binance

Binance опубликовал разбор 3 ноября: злоумышленники выдавали себя за рекрутеров, заразили рабочий компьютер инженера и через взломанный внутренний ИИ-инструмент добрались до сервиса, который подписывает выводы. К 4 ноября биржа восполнила около 98% украденных токенов из средств компании, около $2,85 млрд заморожено или перехвачено — в основном USDT и USDC, их заморозили Tether и Circle. Выводы шести оставшихся активов обещают открыть до 13 ноября.

Что показывает наше отслеживание

Мы шаг за шагом следим за биткоин-частью кражи в публичном блокчейне. Деньги начали двигаться 1 ноября.

• THORChain. 31 октября протокол остановил торги на большинстве сетей после реорганизации блока в Ethereum и снова открыл их вечером 3 ноября. С 5 ноября 28 шагов, за которыми мы следим, пошли прямо в него: 18 шагов и около 47,3 BTC 5 ноября, 10 шагов и около 23,9 BTC 6 ноября.
• CoinJoin. Один шаг, 1,07 BTC, прошёл через CoinJoin с равными выходами.
• Без Monero. Ни один из шагов, за которыми мы следим, не ушёл на маршрут, заканчивающийся XMR.

Это шаги, за которыми следит наш трекер, а не весь поток. Elliptic насчитывает больше: около 1 650 BTC, обменянных из других украденных активов, к 6 ноября, а The Crypto Times пишет, что за два дня через Tron прошло около $242 млн — через Relay, THORChain, Chainflip и Symbiosis.

Адрес, общий с делом Bitget

Мы также отслеживаем сентябрьскую кражу у Bitget. 6 ноября один адрес-накопитель — bc1q82cksuj36wfc2khdpmhlk0szxv7u8fe894t4zw — получил шаг из нашего дела Binance (1,712 BTC) и в тот же день шаг из нашего дела Bitget (1,2406 BTC). В публичном блокчейне у этого адреса около 95 транзакций и около 56,6 BTC поступлений: он собирает депозиты и передаёт их дальше крупными суммами.

Один общий адрес не доказывает одного оператора. Но это совпадает с тем, что независимо сообщает Elliptic: часть денег Binance ушла на кошельки, где лежит добыча от взлома Bitget, который тоже приписывают группе TraderTraitor.

Что это значит, если вы пользуетесь этими протоколами

Средства обычных пользователей это не затронуло. Но три протокола из нашего каталога на этой неделе пропустили через себя украденные деньги, и обращаются с ними очень по-разному:

• Relay проверяет адреса при запросе котировки и ещё раз перед исполнением и отказывает помеченным адресам.
• Брокеры Chainflip могут отклонять депозиты, которые считают высокорисковыми, и отправлять их обратно на адрес возврата.
• У THORChain в самом протоколе нет проверки адресов; его условия лишь исключают лиц под санкциями. Некоторые интерфейсы, построенные на нём, проверяют адреса на своей стороне.

Если вы меняете через эти маршруты, ваши монеты могут оказаться в одних пулах с украденными. Это свойство открытой ликвидности, а не признак вины пользователей.

Источники: разбор Binance (3 ноября) в пересказе TRM Labs и The Coin Republic; Elliptic в пересказе The Crypto Times (7 ноября); статус THORChain; наши собственные дела о потоках средств по кражам у Binance и Bitget.