ZachXBT: Предположительно, учреждению ЕС похищено более 106 млн долларов США, хакеры переводят средства через ETH и Monero.

Автор: TechFlow

Вводная часть: Новые скрытые угрозы в сфере безопасности блокчейна вновь привели к редкому случаю хищения колоссальных сумм. 2 ноября известный блокчейн-детектив ZachXBT выпустил экстренное предупреждение для сообщества, раскрыв, что юридическое лицо из Европейского союза, вероятно, подверглось катастрофической атаке 1 ноября: его счета на нескольких централизованных биржах были необъяснимым образом обчищены на сумму свыше 106 млн долларов США в криптоактивах.

После первоначального перевода средств злоумышленники в течение 24 часов продемонстрировали исключительно стремительные и отточенные навыки отмывания криптовалюты. Массивы стейблкоинов были моментально конвертированы в Ethereum, а затем с помощью платформ мгновенного обмена без цензуры, межсетевой маршрутизации ликвидности и криптовалюты повышенной анонимности Monero прошли многоступенчатые скачки для заутаты, пытаясь полностью разорвать цепочку отслеживаемости средств.

Однако важнейшим фактором является то, что, исходя из многомерных поведенческих паттернов отмывания денег, ZachXBT абсолютно уверен: данный инцидент не имеет отношения к печально известной северо-корейской хакерской группировке. Это грандиозное ограбление, охватившее внутренние механизмы контроля централизованных бирж и децентрализованную многоцепочечную паутину, не только вновь заставило сработать красную тревогу защитных мер по хранению цифровых активов институционального уровня, но и вскрыло беспрецедентную скорость эволюции новых профессиональных трансграничных преступных сетей.

Исчезновение 106 млн долларов: институт ЕС внезапно столкнулся с массовым снятием средств с биржи

Как указано в предупреждении в сообществе ZachXBT, один из институциональных клиентов, зарегистрированных в Европейском союзе, стал жертвой внезапного инцидента безопасности 1 ноября. Злоумышленники осуществили несанкционированный вывод крупных активов стоимостью более 106 млн долларов с нескольких счетов хранения на его имя в центральных обменниках (CEX).

Записи о движении адресов в блокчейне показывают, что похищенные средства изначально были быстро выведены из горячих кошельков бирж в виде стейблкоинов USDC и USDT. Крупные партии стейблкоинов в сжатые сроки были распределены по 11 ключевым адресам злоумышленников, что свидетельствует о глубоком понимании нападавшими прав доступа к целевым счетам и правил их вывода.

По состоянию на текущий момент точная личность атакованного института и детали контроля рисков бирж пока не полностью раскрыты. Тем не менее, масштаб вовлеченных средств в сотни миллионов долларов автоматически относит этот инцидент к числу крупнейших известных случаев нарушения безопасности институционального уровня со второй половины текущего года, вызвав сильное потрясение в сфере управления криптоактивами и обеспечения ликвидности.

Конвертация в ETH и переход в Monero: межсетевая маршрутизация плетет лабиринт отмывания

После хищения средств группа злоумышленников провела в течение 24 часов интенсивную операцию по очистке средств в блокчейне. Чтобы предотвратить потенциально немедленное замораживание адресов в блокчейне эмитентами стейблкоинов Circle и Tether, хакеры сначала агрессивно через децентрализованные торговые протоколы конвертировали весь объем USDC в нативный ETH.

Затем сеть отмывания начала глубоко проникать в децентрализованные межсетевые платформы и сервисы мгновенного обмена. Нападающие массово направляли активы в каналы мгновенного обмена без прохождения процедур KYC, такие как WellWallet и Kyrrex, а с помощью межсетевых протоколов вроде Wagyu незаметно перевели огромные суммы в Monero (XMR) с высокими параметрами анонимности.

Помимо конвертации в privacy-токены, хакеры осуществляли множественные межсетевые перескоки активов между популярными блокчейн-сетями, используя некастодиальные межсетевые мосты для дробления потоков средств на крайне мелкие микро-транзакции. Такая сетчатая структура распространения цепочек отмывания значительно повысила затраты на аналитические операции систем AML-трекинга в блокчейне.

Исключение подозрений в пользу Lazarus: профильная характеристика новой профессиональной преступной сети

Отвечая на широко распространенные среди общественности предположения о причастности к преступлению северо-корейских хакеров, ZachXBT представил в отчете четкие технические опровержения. Он подчеркнул, что на основе ритмичности переводов, выбора каналов и множества глубинных показателей признаков отмывания можно с высокой долей вероятности утверждать: данная атака никоим образом не связана с государственной хакерской организацией Lazarus Group.

В отличие от типично используемых Lazarus фиксированных межсетевых прослойков и специфических моделей агрегации средств, в данном деле наблюдается агрессивное использование небольших и средних платформ мгновенных сделок, а также более быстрая конвертация в Monero. Подобная уникальная тактика действий лучше всего соответствует признакам профессиональных гражданских транснациональных группировок, обладающих способностью продвинутого проникновения во внутренние контролирующие системы.

Данный анализ вскрывает перед индустрией безопасности более суровый факт: помимо государственных APT-угроз, глобальные гражданские онлайн-преступные экосистемы стремительно осваивают передовые инструменты для очистки средств в блокчейне. Профессиональные преступные кластеры, наделенные возможностями взлома CEX и межсетевым микшированием, становятся реальной угрозой, которую институциональный капитал больше не может игнорировать.

Подверженность защите бирж новому испытанию: слепые зоны и предупреждения институционального хранения

Разразившийся скандал вновь вывел вопросы защиты аккаунтов институционального уровня на централизованных биржах в центр общественного внимания. Способность злоумышленников в кратчайшие сроки пробить барьеры контроля крупных транзакций нескольких популярных бирж и последовательно вывести 106 млн долларов выявила уязвимые границы традиционного управления на основе API-ключей или учетных данных.

Для институциональных инвесторов, управляющих значительными объемами криптоактивов, одностороннее хранение на традиционных торговых счетах создает высокий риск полной компрометации из-за перехвата прав внутренних сотрудников через фишинг или методы социальной инженерии. Внедрение технологий Multi-Party Computation (MPC) и установление жестких временных задержек для утверждения транзакций стало теперь абсолютно обязательным минимальным стандартом.

На данный момент крупнейшие компании по анализу compliance совместно с мировыми биржами проводят экстренную маркировку и on-chain блокировку 11 черных адресов, связанных с данным инцидентом. Однако учитывая, что значительная часть средств уже ушла в туман анонимности Monero, вопрос успешного возвращения этих активов напрямую проверит пределы оперативного реагирования глобального межучрежденческого юридического сотрудничества.