Śledczy blockchain ZachXBT podniósł szacowaną wartość podejrzanej kradzieży kryptowalut z udziałem niezidentyfikowanego europejskiego podmiotu do ponad 133 milionów dolarów po prześledzeniu kolejnych 27 milionów dolarów w wypłatach z giełd scentralizowanych.
Podsumowanie
- ZachXBT podniósł szacowaną wartość podejrzanej europejskiej kradzieży kryptowalut ze 106 milionów dolarów do ponad 133 milionów dolarów po zidentyfikowaniu kolejnych 27 milionów dolarów w wypłatach z giełd scentralizowanych.
- Śledczy blockchain podejrzewa, że doszło do naruszenia bezpieczeństwa w dużej zachodnioeuropejskiej instytucji finansowej, i oskarżył dotkniętą organizację o ukrywanie incydentu.
- ZachXBT twierdzi, że ponad 30 milionów dolarów zostało już wypranych i mogło zostać zamrożonych przez organy ścigania Unii Europejskiej.
- Podejrzany napastnik miał przenosić środki przez Ethereum, natychmiastowe giełdy kryptowalut i Monero, podczas gdy ZachXBT wyraził pewność, że północnokoreańska grupa Lazarus nie była za to odpowiedzialna.
W aktualizacji z 3 listopada ZachXBT poinformował, że dodatkowe transakcje były powiązane z tym samym nielegalnym podmiotem zidentyfikowanym w jego wcześniejszym śledztwie, przy czym niektóre wypłaty miały miejsce po tym, jak po raz pierwszy publicznie ujawnił incydent.
Śledczy podejrzewa obecnie, że doszło do naruszenia bezpieczeństwa w dużej instytucji finansowej w Europie Zachodniej, i oskarżył dotkniętą organizację o ukrywanie incydentu.
ZachXBT kwestionuje brak ujawnienia po podejrzanej kradzieży
Śledztwo rozpoczęło się od ostrzeżenia społeczności z 2 listopada, kiedy ZachXBT poinformował, że niezidentyfikowany europejski podmiot miał podejrzanie utracić ponad 106 milionów dolarów z kilku kont na giełdach scentralizowanych 1 listopada.
Wówczas zidentyfikował wiele adresów portfeli powiązanych z wypłatami i opublikował mapę transakcji pokazującą, w jaki sposób podejrzanie skradzione aktywa przemieszczały się między portfelami, giełdami i innymi usługami kryptowalutowymi.
Najnowsza aktualizacja dodała cztery kolejne adresy do śledztwa, zwiększając liczbę publicznie zidentyfikowanych adresów kradzieży w obu ujawnieniach do 15.
Śledczy był szczególnie krytyczny wobec braku ujawnienia incydentu, twierdząc, że ponad 30 milionów dolarów zostało już wypranych i mogło zostać zamrożonych przez organy ścigania Unii Europejskiej.
Jak przenoszono podejrzane 133 miliony dolarów skradzionych środków?
Według pierwotnych ustaleń ZachXBT napastnik początkowo wypłacił podejrzanie skradzione aktywa w dwóch stablecoinach powiązanych z dolarem, USD Coin (USDC) i Tether (USDT), po czym rozpoczął serię transakcji mających na celu przeniesienie środków przez różne usługi.
W ciągu następnych 24 godzin portfele zostały wykorzystane do zamiany USDC na Ethereum (ETH), a części aktywów zostały następnie przeniesione do natychmiastowych giełd kryptowalut, w tym WellWallet i Kyrrex.
Śledczy zidentyfikował kolejną trasę z udziałem Wagyu, gdzie środki zostały zamienione na skoncentrowaną na prywatności kryptowalutę Monero (XMR).
Inne transakcje obejmowały mostkowanie aktywów między sieciami blockchain, co pozwoliło podejrzanemu napastnikowi przenosić środki przez kilka łańcuchów zamiast trzymać je w jednej sieci.
ZachXBT powiedział, że jest bardzo pewien, iż napastnikiem nie była północnokoreańska grupa Lazarus, wskazując na kilka wskaźników z transakcji prania, które różniły się od wzorców, jakie kojarzył z tą organizacją hakerską.
W kolejnym poście na X ZachXBT powiedział, że podejrzany napastnik mówił po francusku i miał pewne powiązania on-chain z użytkownikami forów cyberprzestępczości.
Wcześniejsze śledztwa śledziły skradzione środki przez Monero
Wykorzystanie Monero i natychmiastowych giełd przypomina trasy transakcji udokumentowane w innych śledztwach dotyczących kradzieży kryptowalut, gdzie napastnicy wymieniali skradzione aktywa przed przeniesieniem ich do nowych portfeli.
W czerwcu crypto.news informował wcześniej, że Tether zamroził 72 miliony dolarów w USDT po tym, jak ZachXBT prześledził około 120,2 miliona dolarów przez usługi kryptowalutowe i transakcje powiązane z zakupami Monero.
Śledztwo zidentyfikowało przepływy poprzez Tron, KuCoin, giełdy natychmiastowe i portfele NEAR Intents, zanim Tether umieścił na czarnej liście adres zawierający około 72,03 miliona USDT.
Niedawniej, śledztwo z 20 października powiązało wpływy FreedomXMR na Hyperliquid Core z podejrzaną działalnością nielegalną.
ZachXBT oszacował, że ponad 87% środków wpływających do serwisu było związanych z nielegalnymi źródłami, śledząc ponad 20 milionów dolarów do płatności okupowych, exploitów kryptowalutowych, złośliwego oprogramowania i ataków socjotechnicznych.
Zidentyfikowane transakcje obejmowały środki związane z incydentami bezpieczeństwa dotyczącymi DCENT Wallet, Fetch.ai, Axelar i platformy hazardowej online Gamdom.
Osobno, październikowe śledztwo dotyczące sieci prania pieniędzy Bybit opisało, jak ZachXBT przeniknął do domniemanej chińskiej operacji przestępczej, która według jego twierdzeń przetworzyła ponad 1 miliard dolarów powiązanych z północnokoreańskimi hakerami.
Podczas tego śledztwa powiedział, że wydał 349 700 dolarów, podszywając się pod klienta, aby uzyskać informacje o transakcjach i prześledzić środki związane z atakiem hakerskim na Bybit z lutego 2025 roku.
Śledczy następnie udostępnił dowody badaczom z sektora prywatnego i funkcjonariuszom organów ścigania, podczas gdy Tether zamroził 442 000 USDT powiązanych z portfelami zidentyfikowanymi podczas operacji.
