Украли 387 млн долларов и жаловались в Discord. В ответ получили фото Ким Чен Ына

После хакерской атаки на криптобиржу Bitget преступники пытаются с разным успехом отмыть украденные 387,5 млн долларов. На фоне этого разгорается спор о концепции децентрализации — THORChain отказался заблокировать адреса злоумышленников и позволил им перевести миллионы в биткойнах, в то время как протокол NEAR Intents остановил попытку перевода более 50 млн долларов.
фот. Andy.LIU / / Shutterstock

Хакерская атака на Bitget произошла 24 сентября, и ее механизм отличался от классического захвата приватных ключей. Хакеры получили высокие внутренние привилегии, принуждая к авторизации несанкционированных переводов. Оценки убытков быстро были пересмотрены в сторону увеличения — с первоначальных 351,6 млн долларов до 387,5 млн долларов, когда в ходе расследования были обнаружены связанные переводы в сетях Zcash и TRON.

Преступники вывели активы из цепочек EVM, XRP Ledger, Zcash и TRON (включая токены XRP, ETH, USDT, USDC, BNB, AVAX и TRX). Однако руководство биржи подчеркивает, что инцидент ударил исключительно по серверной инфраструктуре биржи, минуя холодные кошельки и независимое приложение Bitget Wallet.

Известный аналитик блокчейна, выступающий под псевдонимом ZachXBT, указал, что шаблон отмывания денег, использованные аккаунты и инфраструктура идентичны схеме действий группы TraderTraitor. Под таким названием американское ФБР каталогизирует северокорейских хакеров, которым приписываются, в частности, атаки на Kelp DAO (292 млн долларов убытков) или DMM Bitcoin (308 млн долларов убытков). Генеральный директор Bitget Грейси Чен охарактеризовала участие Северной Кореи как "очень вероятное".

Две философии DeFi

После успешной атаки хакеры перевели средства в свои кошельки и приступили к попыткам их отмывания. В случае большинства криптовалют это непростая задача — каждый перевод оставляет след на блокчейне, и нужно постараться, чтобы "потерять след". Одним из способов является перепрыгивание между цепочками. Быстрая замена активов с одного блокчейна на другой (например, ETH на BTC, TRX или XRP) с помощью децентрализованных бирж или мостов и безобслуживаемых протоколов обмена позволяет разорвать простую линию отслеживания средств в анализе on-chain. Примером таких безобслуживаемых протоколов являются THORChain и NEAR Intents.

NEAR предотвратил попытки перевода более 50 млн долларов, принадлежащих хакерам Bitget. Автоматизированная система защиты "SHIELD", выявляющая аномалии в потоках и данные от внешних аналитических агентств, заморозила в ходе транзакции 503 тыс. долларов, в то время как через сеть смогло пройти лишь около 166 тыс. долларов. Управляющий услугой Алекс Шевченко призвал Bitget обратиться по официальному юридическому пути для возврата средств, заявив при этом о готовности отказаться от вознаграждения за их отслеживание.

Иначе поступил децентрализованный протокол THORChain. Несмотря на официальный призыв генерального директора Bitget, Грейси Чен, заблокировать известные адреса преступников, THORChain отказался создать черный список. В результате хакеры без препятствий перевели туда как минимум 2390 ETH (около 6,3 млн долларов), обменяв их на биткойны в 27 успешных транзакциях. Команда THORChain прокомментировала, что механизмы остановки сети служат исключительно для защиты самого протокола, а не для выборочного блокирования конкретных кошельков.

Провал китайских отмывателей

ZachXBT сообщил, что за операцией отмывания криптовалют стоят китайские посредники, работающие на северокорейские хакерские группы. Преступники после неудачных попыток обмена XRP на биткойны искали техническую помощь на публичных серверах Discord и Telegram сети THORChain и SwapKit, жалуясь на заблокированные средства.

Когда обмен украденного XRP на биткойны застрял в сети, хакеры начали жаловаться службе поддержки. Пользователь с псевдонимом "Cc" писал, что из отправленных 277 тыс. XRP он получил лишь долю суммы, а другой жаловался, что потеря "создаст огромные проблемы в его жизни". Модераторы SwapKit ответили на эти претензии фото Ким Чен Ына.

Аналитик связал одну из этих дискорд-аккаунтов ("lolo") непосредственно с апрельской атакой на Kelp DAO (292 млн долларов) и указал на идентичный цифровой отпечаток, который ФБР приписывает группе TraderTraitor.

Bitget внедряет поэтапный план возобновления услуг. Выплаты в биткойнах начались 28 сентября, в Ethereum — 29 сентября, а в USDT должны вернуться 30 сентября. Полная функциональность платформы должна быть восстановлена 2 октября, хотя до сих пор эмитенты стейблкоинов Circle и Tether смогли заблокировать лишь около 320 тыс. долларов из украденной суммы.

Михаł Мисиура

Этот контент предоставляется исключительно в общих информационных целях и не является финансовым, инвестиционным, юридическим или налоговым советом. Любые мероприятия, вознаграждения, онлайн-акции или связанная с ними информация, упомянутые в настоящем документе, не должны рассматриваться как рекомендация, приглашение к покупке, продаже, торговле или иной сделке с какими-либо криптоактивами. Криптоактивы очень волатильны и могут привести к убыткам. Доступность услуг, продуктов WEEX и связанных с ними событий может варьироваться в зависимости от региона. Вы несете ответственность за обеспечение того, чтобы ваше участие соответствовало применимым местным законам и нормативным актам.