Północnokoreańscy hakerzy rozpoczęli skomplikowaną operację prania miliardów dolarów w tokenach skradzionych z giełdy kryptowalutowej Binance. Według szacunków analityków i służb śledczych, mimo zastosowania zaawansowanej automatyzacji transakcyjnej, proces pełnego wprowadzenia środków do obiegu potrwa od wielu miesięcy do nawet kilku lat - czytamy w "Financial Times".
Amerykańskie Biuro Śledcze (FBI) przypisuje atak grupie TraderTraitor, powiązanej z władzami w Pjongjangu. Z początkowo przejętej kwoty 6,3 miliarda dolarów hakerzy zachowują kontrolę nad aktywami o wartości około 3,3 miliarda dolarów, podczas gdy pozostała część tokenów została zablokowana przez podmioty branżowe.
Mechanizm rozpraszania kapitału i ograniczenia infrastrukturalne
Skala skradzionych aktywów okazała się zbyt duża dla zaufanych kanałów prania pieniędzy, którymi dysponuje grupa. Z informacji przekazanych przez Jonathana Levina, współzałożyciela firmy analitycznej Chainalysis, wynika, że przestępcy zostali zmuszeni do podzielenia środków na bardzo małe wolumeny i skierowania ich do szerokiej sieci zewnętrznych serwisów. Skradzione tokeny pozostają widoczne w publicznych rejestrach blockchain, jednak wykorzystanie skryptów automatyzujących pozwala hakerom na prowadzenie tysięcy równoległych transakcji i ciągłe zmienianie struktury portfeli.
Eksperci z firmy Elliptic wskazują, że w szczytowym momencie operacji transakcje były realizowane z częstotliwością co trzy sekundy. Tom Robinson z Elliptic zauważa jednak, że wykorzystywana automatyzacja opiera się na konwencjonalnych skryptach uruchamianych przez ludzi, a nie na autonomicznej sztucznej inteligencji, na co wskazują regularne przerwy w przepływach odpowiadające ludzkiemu rytmowi pracy.
Phil Larratt z Chainalysis podkreśla, że hakerzy będą przetrzymywać aktywa przez długi czas, czekając na dogodne okazje do ich wypłaty.
Wykorzystanie rynków DeFi oraz sieci Tron
Kluczową rolę w procesie konwersji środków odgrywają zdecentralizowane finanse oraz serwisy wymiany tokenów, które umożliwiają zmianę aktywów bez konieczności przechodzenia procedur weryfikacji tożsamości. W pierwszych minutach po ataku przestępcy wymienili tokeny USDT o wartości 434 milionów dolarów na ether na zdecentralizowanych giełdach. Następnie zaciągnęli pożyczkę w etherze o wartości 45 milionów dolarów na platformie Aave, wykorzystując skradzione USDT jako zastaw.
Kolejnym etapem było przetransferowanie 234 milionów dolarów w USDT na giełdę SunSwap w celu konwersji na kryptowalutę TRX, natywny token sieci Tron. Z analizy przeprowadzonej przez firmę Elliptic wynika, że środki w TRX o wartości około 215 milionów dolarów zostały rozbite i rozesłane do blisko 7,7 tysiąca nowo utworzonych adresów portfeli.
Część z nich wymieniono na stablecoin USDD, stworzony przez Justina Suna, który z założenia nie posiada mechanizmu zamrażania środków. Następnie, przy użyciu mostów cross-chain takich jak THORChain oraz Bitget Swap, co najmniej 147 milionów dolarów wyprowadzono z sieci Tron i zamieniono na ether, rozpraszając je na setki kolejnych portfeli.
Wypłata środków i analogie do wcześniejszych ataków
Ostateczny etap operacji, polegający na wymianie cyfrowych aktywów na waluty tradycyjne, ma zostać przeprowadzony z wykorzystaniem pośredników oraz giełd nieegzekwujących procedur weryfikacji klientów. Analitycy wskazują na bezpośrednie analogie do ubiegłorocznego ataku na giełdę Bybit, z której ta sama grupa wyprowadziła 1,5 miliarda dolarów. Wówczas skradzione fundusze zamieniono na USDT, a następnie spieniężono poza siecią blockchain przy udziale pozaobsługowych brokerów, ze szczególnym uwzględnieniem podmiotów chińskojęzycznych.
Transakcje pozagiełdowe stanowią dla przestępców najsłabszy punkt operacji, ze względu na możliwość zamrożenia stablecoinów przez ich emitentów przed dokonaniem końcowej wypłaty. Z tego powodu proces likwidacji pozycji z ataku na Binance jest realizowany stopniowo, aby uniknąć wykrycia i reakcji ze strony emitentów aktywów cyfrowych oraz organów ścigania.
Reakcja dyplomatyczna i zabezpieczenie klientów Binance
Władze w Pjongjangu stanowczo odrzuciły oskarżenia amerykańskich służb. Kim Yo Jong, siostra północnokoreańskiego przywódcy Kim Jong Una, w oświadczeniu opublikowanym przez oficjalną agencję prasową KCNA określiła zarzuty FBI jako poważną prowokację polityczną. Przedstawicielka północnokoreańskiego reżimu stwierdziła, że Stany Zjednoczone wprowadzają w błąd międzynarodową opinię publiczną, przypisując Korei Północnej odpowiedzialność za przestępstwa cybernetyczne na świecie.
Równolegle giełda Binance podjęła działania mające na celu ochronę własnych użytkowników. Współzarządzająca platformą Yi He poinformowała na platformie X, że giełda pokryje wszystkie straty poniesione przez klientów z własnych zasobów. Zobowiązanie to zostanie sfinansowane między innymi z funduszu rezerwowego, w którym zgromadzono bitcoin o wartości około 1 miliarda dolarów, a także ze środków bieżących giełdy pochodzących z przychodów w tokenach. Binance kontynuuje śledztwo we współpracy z FBI oraz zewnętrznymi firmami analitycznymi w celu ustalenia dokładnego przebiegu włamania.
Oprac. JM
