Wired со ссылкой на TRM Labs описывает хронологию вывода примерно $6,3 млрд из кошельков Binance 29 октября. Основная часть активов была похищена примерно за 20 минут с горячих кошельков как минимум в десяти блокчейнах, включая Ethereum, Bitcoin, Tron и Solana. Средства поступали на несколько адресов, которые TRM связывает с одним оператором. Binance приостановила депозиты и выводы и начала расследование с участием правоохранительных органов.
Подготовка, по данным TRM, началась не менее чем за 36 часов. В тестовый период один из кошельков атакующего получил три небольших вывода. Затем оператор развернул первый компонент атаки, опробовал его на двух кошельках, а финальную версию проверил на третьем и вернул тестовые средства себе. Примерно через четыре часа после репетиции тот же код оказался в горячем кошельке Binance. Это выводы аналитиков по доступным им транзакциям и инфраструктуре.
TRM Labs и Chainalysis считают вероятным участие северокорейской группы TraderTraitor. Elliptic видит совпадения с её методами, но не привязывает атаку к конкретной группе. Среди аргументов называются предварительные репетиции, нацеливание на сотрудника и финансирование через Tornado Cash. Chainalysis также наблюдала смешивание средств из Binance с активами из предыдущего инцидента Bitget, который связывали с северокорейскими акторами. Сама Binance и правоохранительные органы на момент статьи никого публично не назвали.
Биржа сообщила, что первоначальная версия о скомпрометированном ноутбуке инженера дополнилась другими точками проникновения. Компания охарактеризовала атаку как сложную и пообещала покрыть все потери. Sophos отмечает, что TraderTraitor ранее использовала поддельные приложения для проникновения в криптовалютные и DeFi-организации; FBI связывала группу со взломом Bybit на $1,5 млрд.
По оценке Тома Робинсона из Elliptic, криптовалютным компаниям удалось заморозить около $2,8 млрд, или 44% похищенного. Почти вся замороженная сумма пришлась на стейблкоины, эмитенты которых способны блокировать адреса. Оставшиеся примерно $3,3 млрд в основном представлены Bitcoin, Ether и XRP, которые нельзя заморозить аналогичным способом. Их можно остановить при поступлении на биржу или в другой сервис.
Chainalysis сообщила о тысячах быстрых транзакций, автоматизации и незнакомых ранее схемах отмывания. Робинсон ожидает, что часть средств перехватят в ближайшие месяцы, но существенного роста замороженной доли не прогнозирует.