El 1 de noviembre, una organización no identificada de la Unión Europea sufrió un masivo robo de criptomonedas estimado en más de 106 millones de dólares. La pérdida fue reportada por el investigador on-chain ZachXBT, quien rastreó el movimiento de USDC y USDT desde varias cuentas de intercambio hacia una serie de billeteras y servicios antes de que una parte fuera convertida en la moneda de privacidad Monero (XMR). Ningún intercambio o la víctima ha confirmado públicamente la violación, y la identidad del atacante sigue siendo desconocida.

Cómo se movieron los fondos

El análisis de ZachXBT muestra que el ladrón primero retiró stablecoins—USDC y USDT—y luego intercambió agresivamente el USDC por Ether (ETH) dentro de una ventana de 24 horas. Aproximadamente 80 millones de dólares en USDC fueron enviados a once billeteras en once horas, con cinco de esas billeteras moviendo unos 9,6 millones de dólares en menos de tres minutos. El ETH fue enrutado a través de plataformas de intercambio instantáneo como WellWallet y Kyrrex, y una parte del valor fue puenteada a otras blockchains, incluyendo una dirección en formato Tron.

Conversión a Monero y rastro restante

Después de pasar por los servicios de intercambio instantáneo, el atacante usó el servicio de intercambio Wagyu para convertir parte de los beneficios en Monero. Dado que Monero oculta los datos de remitente, receptor y monto, es difícil rastrear el destino final de esos fondos. El gráfico de flujo on-chain, compilado con la entrada de Specter y TRM Labs, aún muestra las direcciones públicas de Ethereum que mantienen los saldos restantes, pero la parte de Monero está efectivamente oculta.

Atribución e implicaciones de seguridad

ZachXBT enfatizó que, basándose en múltiples indicadores de lavado, está altamente seguro de que el robo no está vinculado al grupo Lazarus de Corea del Norte, que recientemente fue vinculado a una violación separada de la billetera caliente de Binance. La investigación también señaló que cinco de las billeteras marcadas habían recibido pagos más pequeños de la misma fuente meses antes, aunque esto no aclara cómo ocurrió la violación inicial. Los expertos en seguridad aconsejan a los usuarios de intercambios auditar la actividad reciente, revocar claves API desconocidas, habilitar la autenticación de dos factores y, cuando sea posible, establecer restricciones de dirección de retiro.

Qué observar a continuación

Las autoridades y los intercambios involucrados no han comentado, dejando incierto el alcance de la violación. La cobertura de seguimiento se centrará en cualquier identificación de la víctima o de los intercambios comprometidos, la posible intervención de las fuerzas del orden y si se mueven fondos adicionales fuera de Monero. El monitoreo de las direcciones de Ethereum marcadas y cualquier nueva actividad en los servicios de intercambio instantáneo relacionados será crítico para rastrear los próximos pasos del atacante.