El investigador de blockchain ZachXBT ha elevado el valor estimado de un presunto robo de criptomonedas que involucra a una entidad europea no identificada a más de 133 millones de dólares tras rastrear otros 27 millones de dólares en retiros de exchanges centralizados.
Resumen
- ZachXBT elevó el valor estimado de un presunto robo de criptomonedas europeo de 106 millones de dólares a más de 133 millones de dólares tras identificar otros 27 millones de dólares en retiros de exchanges centralizados.
- El investigador de blockchain sospecha que una importante institución financiera de Europa Occidental fue comprometida y acusó a la organización afectada de ocultar el incidente.
- ZachXBT afirmó que más de 30 millones de dólares ya habían sido blanqueados y que podrían haber sido congelados por las autoridades policiales de la Unión Europea.
- Según los informes, el presunto atacante movió fondos a través de Ethereum, exchanges de criptomonedas instantáneos y Monero, mientras que ZachXBT expresó su confianza en que el Grupo Lazarus de Corea del Norte no era responsable.
En una actualización del 3 de noviembre, ZachXBT dijo que las transacciones adicionales estaban conectadas al mismo actor ilícito identificado en su investigación anterior, con algunos retiros ocurriendo después de que revelara el incidente públicamente por primera vez.
El investigador ahora sospecha que una importante institución financiera de Europa Occidental podría haber sido comprometida y acusó a la organización afectada de ocultar el incidente.
ZachXBT cuestiona la falta de divulgación tras el presunto robo
La investigación comenzó con una alerta comunitaria del 2 de noviembre, cuando ZachXBT informó que se sospechaba que una entidad europea no identificada había perdido más de 106 millones de dólares de varias cuentas de exchanges centralizados el 1 de noviembre.
En ese momento, identificó múltiples direcciones de billeteras asociadas con los retiros y publicó un mapa de transacciones que mostraba cómo los presuntos activos robados se habían movido entre billeteras, exchanges y otros servicios de criptomonedas.
La última actualización añadió cuatro direcciones más a la investigación, elevando el número de direcciones de robo identificadas públicamente en ambas divulgaciones a 15.
El investigador fue particularmente crítico con la ausencia de una divulgación del incidente, afirmando que más de 30 millones de dólares ya habían sido blanqueados y que podrían haber sido congelados por las autoridades policiales de la Unión Europea.
¿Cómo se movieron los presuntos 133 millones de dólares en fondos robados?
Según los hallazgos originales de ZachXBT, el atacante inicialmente retiró los presuntos activos robados en dos stablecoins vinculadas al dólar, USD Coin (USDC) y Tether (USDT), antes de comenzar una serie de transacciones destinadas a mover los fondos a través de diferentes servicios.
Durante las siguientes 24 horas, las billeteras se utilizaron para intercambiar USDC por Ethereum (ETH), con porciones de los activos posteriormente transferidas a exchanges de criptomonedas instantáneos, incluidos WellWallet y Kyrrex.
El investigador identificó otra ruta que involucraba a Wagyu, donde los fondos se convirtieron en la criptomoneda centrada en la privacidad Monero (XMR).
Otras transacciones involucraron el puente de activos entre redes blockchain, permitiendo al presunto atacante mover fondos a través de varias cadenas en lugar de mantenerlos en una sola red.
ZachXBT dijo que tenía una alta confianza en que el atacante no era el Grupo Lazarus de Corea del Norte, citando varios indicadores de las transacciones de blanqueo que diferían de los patrones que asociaba con la organización de hackers.
En una publicación posterior en X, ZachXBT dijo que el presunto atacante era francófono y tenía algunas conexiones on-chain con usuarios de foros de ciberdelincuencia.
Investigaciones anteriores han rastreado fondos robados a través de Monero
El uso de Monero y exchanges instantáneos se asemeja a las rutas de transacción documentadas en otras investigaciones de robo de criptomonedas, donde los atacantes han intercambiado activos robados antes de moverlos a nuevas billeteras.
En junio, crypto.news informó anteriormente que Tether congeló 72 millones de dólares en USDT después de que ZachXBT rastreara aproximadamente 120,2 millones de dólares a través de servicios de criptomonedas y transacciones vinculadas a compras de Monero.
La investigación identificó movimientos a través de Tron, KuCoin, intercambios instantáneos y billeteras NEAR Intents antes de que Tether incluyera en la lista negra una dirección que contenía aproximadamente 72,03 millones de USDT.
Más recientemente, una investigación del 20 de octubre vinculó las entradas de FreedomXMR en Hyperliquid Core con presuntas actividades ilícitas.
ZachXBT estimó que más del 87% de los fondos entrantes del servicio estaban asociados con fuentes ilícitas, rastreando más de $20 millones hasta pagos de ransomware, exploits de criptomonedas, malware y ataques de ingeniería social.
Las transacciones identificadas incluían fondos asociados con incidentes de seguridad relacionados con DCENT Wallet, Fetch.ai, Axelar y la plataforma de apuestas en línea Gamdom.
Por separado, una investigación de octubre sobre la red de blanqueo de Bybit describió cómo ZachXBT se infiltró en una presunta operación criminal china que, según afirmó, había procesado más de $1 mil millones vinculados a hackers norcoreanos.
Durante esa investigación, dijo que gastó $349.700 haciéndose pasar por un cliente para obtener información de transacciones y rastrear fondos asociados con el hackeo de Bybit de febrero de 2025.
El investigador posteriormente compartió pruebas con investigadores del sector privado y funcionarios encargados de hacer cumplir la ley, mientras que Tether congeló 442.000 USDT vinculados a billeteras identificadas durante la operación.
