Хакеры Binance спешно переводили миллиарды, пока средства не были заморожены

Атакующие, стоящие за хакерской атакой на Binance на сумму около 6,3 млрд долл. США, по-прежнему контролируют миллиарды долларов украденной криптовалюты, несмотря на попытки эмитентов токенов заморозить похищенные средства.

Эта атака — крупнейшая в истории криптовалют: она началась в четверг в 20:04 по UTC, а преступники, связанные с теми же северокорейскими хакерами, которые совершили прошломесячную атаку на Bitget, сразу начали конвертировать активы.

План хакеров заключался в том, чтобы конвертировать поддающиеся заморозке активы (например, USDT и USDC) в те, что заморозить нельзя, например биткоин (BTC) и эфириум (ETH).

Инженер CertiK Диксон У пришёл к выводу, что $500 млн USDT были отправлены на один адрес, из которых $325 млн были проданы маркетмейкерам за ETH к 20:59 по UTC — менее чем через час после начала атаки.

Они действовали на опережение по отношению к одним из самых влиятельных регуляторов крипторынка: гигантам стейблкоинов, таким как Tether и Circle, которые уже начали блокировать адреса, связанные с хищением.

Binance сообщила в пятницу, что из общей суммы хищения (~6,3 млрд долл. США) на блокчейне было заморожено около 3 млрд долл. США; компания сотрудничает с правоохранительными органами, эмитентами и аналитическими фирмами для отслеживания остальных средств.

Масштаб хищения поражает воображение даже в криптомире, но если почти половина активов уже заморожена, то сколько украденной криптовалюты злоумышленники всё же смогут потратить?

Криптовалюта с выключателем

В отличие от BTC или ETH — децентрализованных криптовалют без центрального эмитента и возможности «приостановить» их работу — централизованные стейблкоины, такие как USDT от Tether и USDC от Circle, имеют эмитентов, способных заморозить токены на конкретных адресах.

Binance заявила, что сотрудничает с правоохранительными органами для отслеживания средств. Источник: Binance

Это даёт им возможность быстро реагировать в подобных инцидентах. Tether заморозила в общей сложности около 1,567 млрд долл. USDT; первая крупная заморозка произошла всего через 37 минут после того, как похищенные средства поступили на основной Ethereum-кошелёк злоумышленников.

Circle заморозила около 823 млн долл. USDC спустя три минуты; вскоре за этим последовали другие эмитенты — Ripple и World Liberty Financial.

Способность блокировать криптоактивы — не исключительно особенность стейблкоинов: хотя децентрализованные протоколы, такие как Arbitrum, не имеют центральных эмитентов, они тоже не остались в стороне.

Безопасный совет Arbitrum перевёл около 30,5 млн долл. ARB и ETH на промежуточный замороженный кошелёк, откуда средства можно будет вывести только после дополнительных действий совета или голосования в рамках управления DAO Arbitrum.

Важно помнить: замороженные средства — ещё не восстановленные. Блокировка активов препятствует их использованию предполагаемыми злоумышленниками, но автоматически не возвращает их Binance или её пользователям.

Осложнение с Aave

Децентрализованный кредитный протокол Aave добавляет в уравнение ещё один уровень сложности. Между 20:58 и 21:01 UTC кошелёк, связанный с злоумышленниками, внес на платформу Aave V3 в сети Ethereum 60 млн долларов USDT и взял в долг 44,6 млн долларов обёрнутого эфира (WETH) — примерно за 40 минут до первого замораживания.

LlamaRisk, поставщик услуг по управлению рисками для Aave, сообщил в своём обновлении в 1:00 утра, что обеспечение позиции злоумышленника составляло около 59,9 млн долларов USDT при задолженности 43,8 млн долларов. Aave заявил, что позиция оставалась перестрахованной и не создавала рисков для поставщиков ликвидности протокола.

Крупнейшие криптокошельковые хищения за всю историю. Источник: Elliptic

Поскольку USDT уже были размещены в кредитном пуле Aave, блокировка кошелька злоумышленника не позволила автоматически вернуть обеспечения, удерживаемые протоколом, как пояснил основатель Aave Chan Initiative Марк Целлер:

«USDT — это реальные деньги, обеспеченные долларами, а позиция преступна, но с точки зрения протокола — перестрахована».

Для предотвращения дальнейших депозитов и займов Aave временно заморозил рынки во всех своих реализациях V3 и V4, хотя существующие пользователи по-прежнему могли выводить средства, погашать займы и ликвидировать позиции.

Позднее Aave отменил предупредительную заморозку на рынках V3 и V4, заявив, что его смарт-контракты не затронуты и все позиции остаются перестрахованными.

«Просто ещё один день в криптомире», — сказал Целлер.

Так что же на самом деле могут сохранить за собой злоумышленники?

Elliptic оценил, что к 7:00 утра по UTC в пятницу было заморожено 2,84 млрд долларов, тогда как злоумышленники всё ещё контролировали около 3,33 млрд долларов активов, которые эмитенты не смогли заблокировать.

Хотя заморозка почти вдвое сократила объём возможной прибыли злоумышленников, это не означает, что весь оставшийся капитал можно безопасно вернуть.

У биткоина и эфира нет централизованного эмитента токенов, способного блокировать отдельные адреса, как Tether или Circle. Поэтому после конвертации украденных активов в эти нативные криптовалюты транзакции можно ограничить, но их заморозка значительно сложнее.

Binance обязалась покрыть все потери за счёт Фонда обеспечения безопасности пользователей (SAFU) и собственных средств компании; по последнему обновлению генерального директора Binance Ричарда Тенга, биржа уже «возвращает украденные активы пользователям».

Журнал: «Чёрный октябрь» в кибербезопасности: как защитить себя