1 ноября неустановленная организация в Европейском союзе стала жертвой масштабной кражи криптовалюты на сумму более 106 млн долларов. Об этом сообщил ончейн-детектив ZachXBT, который проследил движение USDC и USDT с нескольких биржевых счетов через серию кошельков и сервисов, пока часть средств не была конвертирована в приватную монету Monero (XMR). Ни одна из бирж или жертва публично не подтвердили взлом, личность злоумышленника остаётся неизвестной.

Как перемещались средства

Анализ ZachXBT показывает, что злоумышленник сначала вывел стейблкоины — USDC и USDT, — а затем в течение 24 часов агрессивно обменял USDC на Ether (ETH). Примерно 80 млн долларов в USDC были отправлены на одиннадцать кошельков в течение одиннадцати часов, при этом пять из них перевели около 9,6 млн долларов дальше менее чем за три минуты. ETH проходил через платформы мгновенного обмена, такие как WellWallet и Kyrrex, а часть стоимости была мостом переведена на другие блокчейны, включая адрес в формате Tron.

Конвертация в Monero и оставшийся след

После прохождения через сервисы мгновенного обмена злоумышленник использовал сервис обмена Wagyu для конвертации части средств в Monero. Поскольку Monero скрывает данные об отправителе, получателе и сумме, конечное назначение этих средств трудно отследить. Ончейн-граф потока, составленный с использованием данных Specter и TRM Labs, по-прежнему показывает публичные адреса Ethereum, на которых хранятся оставшиеся балансы, но часть, связанная с Monero, фактически скрыта.

Атрибуция и последствия для безопасности

ZachXBT подчеркнул, что, основываясь на нескольких индикаторах отмывания, он с высокой степенью уверенности полагает, что кража не связана с северокорейской группировкой Lazarus Group, которая недавно была замешана в отдельном взломе горячего кошелька Binance. В ходе расследования также было отмечено, что пять из отмеченных кошельков получали более мелкие платежи от того же источника несколько месяцев назад, хотя это не проясняет, как произошёл первоначальный компрометация. Эксперты по безопасности рекомендуют пользователям бирж проверять недавнюю активность, отзывать неизвестные API-ключи, включать двухфакторную аутентификацию и, по возможности, устанавливать ограничения на адреса вывода средств.

За чем следить дальше

Власти и задействованные биржи не комментировали инцидент, что оставляет неопределённым масштаб взлома. Последующие репортажи будут сосредоточены на возможном выявлении жертвы или скомпрометированных бирж, участии правоохранительных органов и том, будут ли дополнительные средства выведены из Monero. Мониторинг отмеченных адресов Ethereum и любой новой активности на связанных сервисах мгновенного обмена будет критически важен для отслеживания следующих шагов злоумышленника.