Elliptic: Около $50 млн украденных XRP обменяли преимущественно на биткоин

Обмен XRP увеличивает объём украденных биткоинов

По данным аналитической блокчейн-компании Elliptic, хакеры, связанные с кражей у Binance, обменяли около 42 млн XRP стоимостью примерно $50 млн — преимущественно на биткоин через THORChain. Согласно обновлённым данным компании, охватывающим операции по пятницу включительно, эти обмены стали основной причиной ночного увеличения объёма биткоинов, полученных из украденных активов. Баланс обменянных биткоинов достиг примерно 1 650 BTC стоимостью около $124 млн.

Обмен XRP — лишь часть похищенной суммы, а не вся она. Elliptic выявила около 192 млн XRP стоимостью примерно $226 млн, которые всё ещё не обменяли и которые находятся на связанных с кражей адресах. XRP входили в число активов, выведенных во время инцидента 29 октября, ущерб от которого Binance позднее оценила в $6,34 млрд. Разница между уже обменянной и оставшейся суммами указывает на то, что перемещение XRP продолжается, но не позволяет установить, какая сумма будет перемещена дальше.

Переводы XRP, связанные с кражей, начались в течение короткого промежутка 29 октября. Согласно отчету, с 20:05 до 20:09 UTC пять горячих кошельков Binance отправили 233,46 млн XRP на адрес злоумышленника. ФБР связало более широкую кампанию с северокорейской группой TraderTraitor. Binance поэтапно возобновила вывод средств и заявила, что заморозила или перехватила около 2,85 млрд долларов, а убытки клиентов покрыла за счет собственных средств.

Перевод XRP происходил поэтапно, после нескольких дней затишья

Украденные XRP не сразу поступили на сервисы обмена. По данным Elliptic, ранним утром 2 ноября, с 02:12 до 04:00 UTC, около 233 млн XRP были переведены на шесть недавно созданных адресов. Затем средства оставались там до 5 ноября. Эта пауза разделила первоначальный перевод и последующие обмены и показывает, почему важна хронология кражи: XRP перемещались в течение нескольких дней, а не в рамках одной непрерывной транзакции.

Днем 5 ноября два из шести адресов начали распределять XRP по десяткам новых счетов. Затем на этих счетах токены обменивали, преимущественно через THORChain на биткоин. Elliptic также зафиксировала в тот вечер небольшое количество эфира, направленного через THORChain в биткоин. Эта схема указывает на то, что обмен XRP был частью более масштабных усилий по перемещению украденных активов между сервисами и их конвертации в другие формы, а не просто переводом исходных токенов между кошельками.

Однако не все крупные суммы прошли по этому маршруту. По данным Elliptic, самые крупные объемы биткоина и эфира, связанные с кражей, не перемещались, а переведены были лишь небольшие части основных запасов эфира и NEAR. Таким образом, часть активов уже конвертирована, тогда как значительные суммы по-прежнему остаются без движения. В отчете не указано, когда и будут ли вообще переведены эти остатки, поэтому текущую активность с XRP нельзя считать графиком для остальных активов.

Разветвлённый след охватывает кошельки, блокчейны и сервисы

По подсчётам Elliptic, после кражи средств с Binance в цепочке отмывания фигурировало более 20 000 кошельков в 16 блокчейнах. Компания также выявила активность как минимум с участием 36 сервисов и 65 000 транзакций. Иными словами, согласно её данным, появлялся примерно один новый кошелёк каждые 30 секунд и совершалась одна транзакция каждые 10 секунд. Эти масштабы описывают разветвлённый след, охватывающий множество блокчейнов; сами по себе они не доказывают, что за каждым кошельком или сервисом стоит отдельный участник.

Несмотря на значительный объём перемещений, по оценке Elliptic, на адресах, связанных с кражей, остаётся около 3,11 млрд долларов — преимущественно в эфире и биткоине. По данным компании, на данный момент, вероятно, удалось обналичить лишь незначительную сумму. Это различие важно: перевод активов между кошельками или обмен одного токена на другой — не то же самое, что конвертация в обычные деньги. Таким образом, выявленная цепочка указывает на масштабную деятельность по отмыванию средств, но свидетельств завершённого обналичивания пока мало.

Elliptic отмечает, что перемещение средств также связано с различиями в возможностях заморозки активов. Эмитенты могут замораживать многие стейблкоины, но не могут таким же образом заморозить XRP или заморозить биткоин. Согласно отчёту, после того как 29 октября Tether и Circle заблокировали крупные объёмы стейблкоинов, злоумышленник переключился на активы, не подпадающие под этот механизм контроля со стороны эмитентов. Конвертация XRP в биткоин продолжает эту тенденцию, хотя в источнике не утверждается, что биткоин невозможно отследить или вернуть.

Следующий вопрос — продолжится ли конвертация по этому маршруту

Текущие перемещения XRP — часть более широкой череды конвертаций. По данным Elliptic, все похищенные SOL — около 87 млн долларов по текущим оценкам компании — были обменяны, переведены через мосты или смешаны; значительная часть в итоге оказалась в биткоине. Большая часть ранних операций по отмыванию примерно 220 млн долларов в TRX также уже проведена, тогда как переместились лишь небольшие доли основных пулов эфира и NEAR. Эти цифры отражают разные этапы для разных групп активов, а не единый маршрут для всех похищенных средств.

Часть конвертированных средств также поступила в сервисы, ориентированные на конфиденциальность. По подсчётам Elliptic, с 1 ноября в сервисы для совместного смешивания монет, подобные Wasabi, поступило около 33 BTC на сумму примерно 2,5 млн долларов. Компания также сообщила, что до приостановки приёма депозитов в пул Privacy Cash поступило около 1,1 млн долларов в эфире и SOL. Это лишь небольшая часть общей цепочки, и отчёт не подтверждает, что сервисы получили все конвертированные активы или что средства удалось успешно обналичить.

Elliptic считает, что скорость и регулярность этой активности указывают на обычную автоматизацию, а не на ИИ-агента, принимающего решения в реальном времени: на это указывают фиксированные интервалы, заданные суммы, автоматические повторные попытки и тактики, применявшиеся с интервалом в несколько часов. Что произойдёт дальше, пока неясно: главный вопрос на ближайшее время — будет ли конвертирована ещё часть из примерно 192 миллионов XRP и переместится ли впоследствии хранящийся без движения эфир. В отчёте также остаётся открытым вопрос о том, смогут ли операторы THORChain и других мостов достаточно быстро блокировать опубликованные адреса злоумышленников, чтобы прервать этот маршрут.

Источник: BitcoinMagazine