Elliptic: близько 50 млн доларів у викрадених XRP переважно обміняли на біткоїни

Конвертація XRP збільшує обсяг викрадених біткоїнів

За даними компанії Elliptic, що займається блокчейн-аналітикою, хакери, пов’язані з крадіжкою на Binance, конвертували близько 42 млн XRP вартістю приблизно 50 млн доларів — переважно в біткоїни через THORChain. У своєму оновленні, що охоплює активність до п’ятниці, компанія повідомляє, що ці обміни зумовили більшу частину нічного зростання обсягу біткоїнів, отриманих із викрадених активів. Обсяг конвертованих біткоїнів сягнув приблизно 1 650 BTC вартістю близько 124 млн доларів.

Конвертація XRP — це лише частина викраденої суми, а не вся сума. Elliptic виявила близько 192 млн XRP вартістю приблизно 226 млн доларів, які ще не обміняли й які залишаються на пов’язаних із крадіжкою адресах. XRP були серед активів, виведених під час інциденту 29 жовтня, збитки від якого Binance згодом оцінила в 6,34 млрд доларів. Різниця між конвертованою та залишковою сумами свідчить, що переміщення XRP триває, але не дає змоги визначити, який обсяг буде переміщено наступним.

Перекази XRP, пов’язані з крадіжкою, почалися в короткий проміжок часу 29 жовтня. За даними звіту, між 20:05 і 20:09 UTC п’ять гарячих гаманців Binance переказали 233,46 мільйона XRP на адресу зловмисника. ФБР пов’язало ширшу кампанію з північнокорейським угрупованням TraderTraitor. Binance поетапно відновила виведення коштів і заявила, що заморозила або перехопила близько 2,85 мільярда доларів, а збитки клієнтів покрила власними коштами.

Після кількох днів затишшя викрадені XRP переміщувалися поетапно

Викрадені XRP не надійшли одразу до сервісів конвертації. За даними Elliptic, рано-вранці 2 листопада, між 02:12 і 04:00 UTC, близько 233 мільйонів XRP перемістили на шість щойно створених адрес. Потім ці кошти залишалися там до 5 листопада. Ця пауза відділяє початковий переказ від подальших обмінів і показує, чому важлива хронологія крадіжки: XRP переміщувалися протягом кількох днів, а не в межах однієї безперервної транзакції.

Починаючи з дня 5 листопада, дві з шести адрес почали розподіляти XRP між десятками нових рахунків. Потім на цих рахунках токени обмінювали, переважно через THORChain на біткоїн. Elliptic також зафіксувала того вечора невелику суму ефіру, яку через THORChain перевели в біткоїн. Ця схема вказує на те, що обмін XRP був частиною ширших зусиль із переміщення викрадених активів через різні сервіси та їх конвертації в інші форми, а не просто переказом початкових токенів між гаманцями.

Не всі значні активи переміщувалися за цією схемою. За даними Elliptic, найбільші обсяги біткоїна й ефіру, пов’язані з крадіжкою, залишаються без руху, а переказали лише невелику частину основних запасів ефіру та NEAR. Тож активи, які вже конвертували, слід відрізняти від значних сум, що й досі лежать без руху. У звіті не зазначено, коли і чи взагалі ці кошти буде переказано, тому за поточною активністю XRP не можна судити про терміни переміщення решти активів.

Розгалужений слід охоплює гаманці, блокчейни та сервіси

За даними Elliptic, від часу крадіжки з Binance у сліді відмивання коштів фігурують понад 20 000 гаманців у 16 блокчейнах. Компанія також виявила активність, пов’язану щонайменше з 36 сервісами та 65 000 транзакцій. Іншими словами, за її підрахунками, у середньому з’являвся приблизно один новий гаманець кожні 30 секунд і відбувалася одна транзакція кожні 10 секунд. Такий масштаб свідчить про розгалужений слід у багатьох блокчейнах, але сам по собі не означає, що за кожним гаманцем чи сервісом стоїть окремий учасник.

Попри значні переміщення, Elliptic оцінює, що близько 3,11 млрд доларів залишаються на адресах, пов’язаних із крадіжкою, переважно в ефірі та біткоїнах. За даними компанії, наразі, ймовірно, було переведено в готівку лише незначну суму. Це розрізнення має значення: переміщення активів між гаманцями або обмін одного токена на інший — це не те саме, що конвертація у звичайні гроші. Тож повідомлений ланцюжок транзакцій свідчить про значну активність із відмивання коштів, але водночас містить обмежені докази того, що їх справді перевели в готівку.

За словами Elliptic, переміщення також відображає відмінності в тому, як можна заморожувати активи. Емітенти можуть заморожувати багато стейблкоїнів, але не можуть у такий самий спосіб заморозити XRP або заморозити біткоїни. Згідно зі звітом, після того як 29 жовтня Tether і Circle заблокували значні обсяги стейблкоїнів, зловмисник зосередився на активах, на які не поширюється цей механізм контролю з боку емітентів. Обмін XRP на біткоїни продовжує цю тенденцію, хоча джерело не стверджує, що біткоїни неможливо відстежити чи повернути.

Наступне питання — чи продовжиться маршрут конвертації

Поточна активність із XRP є частиною ширшої послідовності конвертацій. За словами Elliptic, усі викрадені SOL — близько 87 млн доларів за оцінками компанії — вже обміняли, переказали через мости або змішали; значна частина зрештою перетворилася на біткоїни. Також відбувся більший обсяг раннього відмивання приблизно 220 млн доларів у TRX, тоді як переміщено лише невеликі частини основних пулів ефіру та NEAR. Ці цифри показують різні етапи для окремих груп активів, а не єдиний однаковий маршрут для всіх викрадених коштів.

Частина конвертованих коштів також надійшла до сервісів, орієнтованих на приватність. Elliptic зафіксувала, що з 1 листопада до Wasabi-подібних coinjoin-сервісів надійшло близько 33 BTC вартістю приблизно 2,5 млн доларів. Компанія також повідомила про надходження близько 1,1 млн доларів в ефірі та SOL до пулу Privacy Cash, перш ніж цей сервіс призупинив приймання депозитів. Це лише невеликі частини ширшого ланцюжка транзакцій; звіт не встановлює, що сервіси отримали всі конвертовані активи або що кошти вдалося успішно перевести в готівку.

Elliptic трактує швидкість і регулярність цієї активності як ознаки звичайної автоматизації, а не агента ШІ, який ухвалює рішення в реальному часі, посилаючись на фіксовані інтервали, визначені суми, повторні спроби без перевірки та тактики, до яких вдавалися з інтервалом у кілька годин. Що станеться далі, поки незрозуміло: головне питання на найближчий час — чи буде конвертовано ще частину приблизно 192 мільйонів XRP і чи перемістять згодом ефір, який наразі залишається без руху. У звіті також залишається відкритим питання, чи зможуть оператори THORChain та інших мостів достатньо швидко блокувати оприлюднені адреси зловмисників, щоб перервати цей маршрут.

Джерело: BitcoinMagazine