Lavadores de dinheiro ligados à Coreia do Norte criaram memecoins descartáveis para movimentar cerca de US$ 430.000 do hack de US$ 6,4 bilhões da Binance por meio de pools de exchanges descentralizadas, segundo a Elliptic.
Resumo
- Os lavadores criaram seis tokens NEAR e encaminharam os fundos roubados por meio de seus próprios pools de liquidez.
- A Elliptic afirma que os pagamentos dos pools podem se assemelhar a receitas de negociação, embora as transações permaneçam rastreáveis.
- Os investigadores rastrearam a lavagem em mais de 20.000 carteiras em 16 blockchains.
- O Tornado Cash recebeu aproximadamente 7.000 ETH ligados ao roubo desde 8 de novembro.
A Elliptic, em um relatório de 9 de novembro de Tom Robinson, afirmou que os operadores cunharam FUK, OLCCL, MEILI, MMLI, DABI e SINU entre 5 e 7 de novembro. Cada um custou cerca de 25 NEAR, ou US$ 90, para ser criado.
Os operadores combinaram seus tokens com NEAR em pools de negociação separados e, em seguida, encaminharam aproximadamente 117.000 NEAR roubados por meio deles. Atividade semelhante apareceu na Tron, enquanto uma rota relacionada na Solana usou tokens existentes e com pouca negociação.
Pools de memecoins fazem transferências parecerem negociações
No relato de Robinson, um grupo de carteiras comprou os tokens usando criptomoeda roubada, enquanto outro grupo vendeu tokens no mesmo pool e coletou os ativos reais. Com o pool entre eles, as carteiras não transferiram fundos diretamente.
As contas receptoras podiam, consequentemente, parecer traders realizando lucros. Robinson alertou que as equipes de compliance não devem presumir que os fundos estão limpos simplesmente porque chegam de um pool de liquidez.
“O rastro ainda pode ser seguido on-chain”, disse o relatório.
A técnica é anterior a este roubo: a Elliptic identificou seu uso após o hack da Bybit em 2025. Seu efeito declarado é atrasar os investigadores, com tokens criados a baixo custo descartados após o uso.
Lavagem da Binance chega ao Tornado Cash
O rastreador de lavagem separado da Elliptic, atualizado em 9 de novembro às 13h15 UTC, estimou a operação em mais de 20.000 carteiras em 16 blockchains. Sua contagem abrangeu pelo menos 36 serviços e 65.000 transações.
Desde 8 de novembro, carteiras ligadas ao roubo depositaram aproximadamente 7.000 ETH, avaliados em US$ 15 milhões, no Tornado Cash. Alguns depósitos vieram de bitcoin que já havia passado por transações coinjoin antes de ser convertido de volta em ETH.
Ao longo da operação, cerca de 3.000 BTC no valor de US$ 225 milhões haviam se acumulado em novos endereços após conversões de outros ativos roubados. As principais participações em Bitcoin e Ether não haviam se movido, segundo o rastreador.
Cerca de US$ 3 bilhões permaneciam em endereços ligados ao roubo, enquanto US$ 2,85 bilhões estavam congelados. A Elliptic estimou que apenas uma quantia insignificante provavelmente havia sido sacada.
O rastreador afirmou que o FBI atribuiu o roubo ao TraderTraitor em 31 de outubro e instou os serviços, incluindo operadores da THORChain, a bloquear transações vinculadas.
Binance rastreou a violação até computadores de funcionários
O relato da Binance de 3 de novembro descreveu uma intrusão de vários meses envolvendo software de desenvolvedor, entrevistas de recrutamento falsas e acesso a sistemas internos, conforme o crypto.news relatou anteriormente.
Em junho, um encontro anterior envolvendo uma instalação adulterada do Homebrew havia exposto o cargo de um engenheiro e seus colegas, disse a exchange.
Durante um processo de entrevista em setembro, um engenheiro baixou um repositório de tarefas em um computador de trabalho. Segundo a exchange, código malicioso substituiu uma ferramenta de desenvolvimento legítima e escapou da detecção de seus sistemas de segurança de endpoint.
Em 20 de outubro, o atacante usou o computador comprometido e uma ferramenta de IA interna para alcançar as máquinas de dois engenheiros de carteiras. Credenciais roubadas de implantação de contêineres subsequentemente forneceram acesso às operações de assinatura de carteiras.
A exchange estimou o impacto em US$ 6,34 bilhões e disse ter reservado mais do que o valor total para cobrir as perdas.
Descobertas técnicas separadas descreveram como permissões maliciosas do EIP-7702 permitiram que uma carteira Ethereum executasse código controlado pelo atacante. A Blockaid identificou 50 autorizações enviadas em uma única transação, com uma delas correspondendo com sucesso ao contador de transações da carteira Binance 14.
Como a carteira estava processando saques ativamente, seu contador continuava mudando. A Blockaid afirmou que as autorizações abrangiam valores consecutivos do contador, dando ao atacante múltiplas chances de corresponder ao valor quando a transação fosse executada.
A investigação inicial da Binance disse que não encontrou evidências de que a chave privada de uma carteira tivesse vazado.
Fundos congelados na Arbitrum exigem votação de governança
Os esforços de recuperação incluem um pedido de 5 de novembro para a devolução de ativos congelados, compreendendo 8.425,997 ETH e 74,56 milhões de ARB imobilizados na Arbitrum.
O Conselho de Segurança da rede atualizou temporariamente um contrato para mover os ativos para um endereço congelado e, em seguida, restaurou a implementação original. Mover esses saldos novamente requer aprovação da DAO.
A Binance propôs devolver os ativos congelados existentes por meio de uma atualização temporária de contrato, sem buscar uma nova alocação do tesouro. Os ativos recuperados poderiam cobrir custos relacionados ao incidente e reabastecer reservas já usadas para compensar clientes, de acordo com a proposta.
A exchange estimou sete semanas ou mais para discussão, votação e execução. Seu cronograma proposto incluía uma semana de discussão no fórum, uma verificação de temperatura de uma semana, uma votação onchain de duas semanas e aproximadamente mais 18 dias antes da execução após aprovação.
