Кража стейблкоинов в Европе выросла до $133 млн: ZachXBT говорит о сокрытии инцидента

Ончейн-расследователь ZachXBT повысил оценку предполагаемой кражи у неназванной европейской организации: сначала речь шла о более чем $106 млн, теперь — о более чем $133 млн. Деньги, в основном USDC и USDT, были выведены 1 ноября с нескольких аккаунтов на централизованных биржах. Во вторник, 3 ноября, он сообщил ещё о $27 млн выводов, причём часть из них прошла уже после его первой публикации.

Главная претензия ZachXBT на этот раз не к хакеру, а к пострадавшей стороне. Он предполагает, что атаке подверглось крупное финансовое учреждение в Западной Европе, которое не раскрыло инцидент. По его словам, из-за этого было отмыто более $30 млн, которые правоохранители ЕС могли бы заморозить. Название организации он не приводит, а доказательства сокрытия пока не опубликованы: Cointelegraph прямо отмечает, что это обвинение не подтверждено.

Как двигались деньги

По описанию ZachXBT, в течение суток после вывода с бирж злоумышленник менял USDC на эфир, а затем отправлял средства через сервисы мгновенного обмена WellWallet и Kyrrex. Часть денег была конвертирована в Monero (XMR) через сервис Wagyu, а дальше активы перемещались между блокчейнами с помощью мостов. Сведений о том, что сами эти сервисы знали о происхождении средств, в публикациях нет.

Логика такой схемы понятна. USDT и USDC эмитент может заблокировать на конкретном адресе, а у эфира такого централизованного механизма нет. Monero к тому же скрывает детали переводов, поэтому отследить дальнейшее движение денег становится заметно труднее.

Промежуточную картину дают данные аналитической платформы Bitquery, которые приводит Cointelegraph:

• $62,98 млн в стейблкоинах были обменяны на 27 553 ETH примерно за четыре часа;
• на 13:47 UTC понедельника около $78,3 млн оставалось на кошельках, связанных с предполагаемым злоумышленником;
• около $30,5 млн уже покинули отслеживаемые адреса;
• в USDC, которые Circle теоретически могла бы заморозить, оставалось лишь $3,74 млн.

Эти цифры относятся к моменту анализа и могли измениться. Как сообщает crypto.news, всего ZachXBT публично указал 15 адресов, четыре из них добавлены в последнем обновлении.

Кто мог за этим стоять

ZachXBT с высокой степенью уверенности исключает причастность северокорейской Lazarus Group: схема отмывания не похожа на её обычные приёмы. Это важное отличие от взлома Binance, который ФБР связало с КНДР. Связи между двумя инцидентами в публикациях не проводится, хотя кража произошла вскоре после него. По версии расследователя, атакующий, вероятно, франкоязычный и имеет ончейн-связи с участниками киберпреступных форумов.

Что пока неизвестно

В этой истории больше вопросов, чем подтверждённых фактов. Неизвестны название пострадавшей организации, биржи, на которых находились аккаунты, и способ получения доступа к ним. Не раскрыто и то, удалось ли заморозить какую-либо часть средств. Заявлений от предполагаемой жертвы, бирж или правоохранительных органов ЕС в упомянутых материалах нет, а цифры основаны на данных самого ZachXBT и ончейн-аналитике. Оценка уже выросла один раз и может измениться снова.

Для контекста: расследования ZachXBT и раньше приводили к блокировкам. По данным crypto.news, в июне Tether заморозила около $72 млн USDT в связи с одним из его расследований, но это отдельное дело.