Анализ ончейн-данных показывает начальное движение средств в рамках громкого дела с Binance: куда ушли 240 млн долларов, отмытых хакерами?

Автор: Дэвид, TechFlow

Через два дня после кражи 6 млрд долларов на Binance постепенно проясняется картина начального перемещения средств в блокчейне.

В настоящее время активы стоимостью более 3 млрд долларов в виде крупных позиций BTC и ETH, находящихся у хакеров, практически заморожены; после того как эмитенты стейблкоинов блокировали около 2,7 млрд долларов, средства в сети TRON стали главным каналом вывода средств на первые 48 часов.

Согласно полному отслеживанию ончейн-аналитика @somaxbt, из сети TRON было выведено примерно 628 млн долларов (включая 612 млн USDT и 46,4 млн TRX). В первый день инцидента Tether заблокировала 378 млн USDT.

Чтобы избежать дальнейшей блокировки на уровне смарт-контрактов, хакеры консолидировали оставшиеся не перехваченные активы на сумму около 249 млн долларов, обменяли их на нативный токен TRX и за два дня вывели через кроссчейн-мосты примерно 242 млн долларов.

Детальный анализ данных показал, что перевод 240 млн долларов между сетями осуществлялся преимущественно через четыре базовых канала, каждый из которых демонстрирует разные стратегии распределения и характеристики автоматизации:

THORChain: крупнейший канал оттока

Хакеры провели 2697 транзакций пополнения, направив 185 млн TRX и 3,83 млн USDT.

После перевода между цепями средства были конвертированы на стороне назначения в 17 тыс. ETH и распределены по 170 адресам Ethereum, а также обменяны на 53,25 BTC, разнесенные по 20 адресам Bitcoin.

Relay Protocol: канал с аномальным ростом

Этот канал принял 37,64 млн USDT и 39,28 млн TRX (всего 735 депозитов). В предыдущих инцидентах с участием подобных хакерских групп Relay крайне редко выступал в качестве основного маршрута, однако на этот раз он стал вторым по объему каналом оттока в сети TRON.

Chainflip: высокая частота повторных попыток

Выступая в роли третьего по величине канала, данная ветка продемонстрировала наиболее запутанную схему операций в блокчейне.

Хакеры провели 571 транзакцию пополнения, добавив 49,47 млн USDT, при этом произошло множество сбоев при конвертации. Ончейн-журналы показывают, что неудавшиеся возвраты автоматически агрегировались в новые кошельки TRON, после чего снова отправлялись в протокол для многократных попыток, что четко указывает на логику исполнения автоскриптов.

Symbiosis: стратегия дробления сумм

На данном канале хакеры отказались от крупных переводов, перейдя к стратегии рассеивания.

Благодаря 1367 мелким депозитам было направлено 49,71 млн TRX. После кроссчейн-перевода средства были обменяны на 6846 ETH и широко распределены по 402 новым адресам в сети Ethereum.

На данный момент историческая миссия TRON в качестве первоначальной транзитной площадки для вывода средств практически завершена: масса развернутых промежуточных кошельков была полностью опустошена, сохранилось лишь остаточное значение примерно в 7,5 млн долларов.

Закрытие маршрута в TRON означает, что эти 240 млн долларов успешно были раздроблены на мелкие суммы, и окно возможностей для перехвата по отдельной цепи было полностью упущено.

Однако проблема заключается в том, что это лишь часть всех средств хакеров. Используя более 200 млн долларов, они доказали наличие у себя крайне зрелой, устойчивой и полностью автоматизированной инфраструктуры для межцепочечного отмывания средств.

При этом в их руках до сих пор остаются основные активы стоимостью более 3 млрд долларов, находящиеся в состоянии покоя. Когда эти средства действительно активируются и запустят процесс микширования, существующие механизмы отслеживания и перехвата, а также рыночная конъюнктура, пройдут настоящее стресс-тестирование.