هکرهای کره شمالی ۲۴۲ میلیون دلار از دارایی‌های سرقت‌شده بایننس را از طریق ترون جابه‌جا کردند؛ فشار اف‌بی‌آی بر THORChain برای مسدودسازی تراکنش‌ها
به گفته سوماایکس‌بی‌تی (SomaXBT)، تحلیلگر آن‌چین و مشارکت‌کننده در ائتلاف امنیتی (SEAL)، هکرهای کره شمالی طی دو روز حدود ۲۴۲ میلیون دلار از دارایی‌های سرقت‌شده از بایننس را از طریق بلاک‌چین ترون پول‌شویی کرده‌اند. او روز یکشنبه در شبکه اجتماعی ایکس این جابه‌جایی‌ها را گزارش کرد؛ هم‌زمان، اف‌بی‌آی از THORChain و دیگر ارائه‌دهندگان خدمات خواسته است تراکنش‌های مرتبط با این سرقت را مسدود کنند.
به گفته سوماایکس‌بی‌تی، مهاجمان در ابتدا حدود ۶۲۸ میلیون دلار از بایننس روی شبکه ترون سرقت کرده بودند. پس از آنکه تتر ۳۷۸.۷ میلیون USDT را مسدود کرد، حدود ۲۴۹ میلیون دلار برای انتقال باقی مانده بود. او در رشته‌پست خود توضیح داد که از ۲۴۲ میلیون دلار جابه‌جاشده، حدود ۱۹۴ میلیون دلار از طریق بریج‌ها و خدمات سواپ از شبکه ترون خارج شد. ۲۶ میلیون دلار دیگر در همین شبکه باقی ماند و حدود ۲۲ میلیون دلار نیز صرف کارمزدها، لغزش قیمت و تغییرات قیمت شد.
سوماایکس‌بی‌تی گفت این دارایی‌ها از چندین بریج رمزارزی عبور کردند. Relay مسئول انتقال ۴۸ میلیون دلار از خروجی‌ها بود؛ THORChain حدود ۴۴ میلیون دلار، Chainflip حدود ۳۲.۱ میلیون دلار و Symbiosis حدود ۱۶ میلیون دلار را پردازش کردند که مجموع آن‌ها به حدود ۱۴۰ میلیون دلار می‌رسد. به گفته این تحلیلگر، Bitget Wallet نیز ۴۱.۷ میلیون دلار دیگر را پردازش کرد، اما مقصد نهایی این وجوه هنوز مشخص نیست.
بایننس روز پنجشنبه در بزرگ‌ترین هک ثبت‌شده در تاریخ رمزارزها، حدود ۶.۳ میلیارد دلار زیان دید. اف‌بی‌آی روز شنبه در اطلاعیه‌ای مشترک با سرویس مخفی ایالات متحده و بخش تحقیقات جنایی اداره مالیات آمریکا (IRS Criminal Investigation)، گروه TraderTraitor را مسئول این سرقت معرفی کرد.
اف‌بی‌آی اعلام کرد هکرها دارایی‌های سرقت‌شده را «عمدتاً به اتریوم» تبدیل می‌کردند و انتظار می‌رود وجوه از طریق پروتکل‌های دیفای و خدمات سواپ فوری، مراحل بیشتری از پول‌شویی را پشت سر بگذارند. این نهاد از اپراتورهای THORNode در شبکه THORChain، اپراتورهای نودهای RPC، صرافی‌های فوری، خدمات دیفای و دیگر ارائه‌دهندگان خواست تراکنش‌های مرتبط با سرقت را مسدود کنند. اف‌بی‌آی همچنین فهرستی شامل ۶۰۸ آدرس اتریوم، ۱۹ آدرس بیت‌کوین و یک آدرس سولانا منتشر کرد که به گفته این نهاد با حمله مرتبط بودند؛ با این حال، هیچ آدرس ترونی در این فهرست وجود نداشت.
در یک هشدار مشترک در سال ۲۰۲۲، اف‌بی‌آی، آژانس امنیت زیرساخت و امنیت سایبری و وزارت خزانه‌داری آمریکا، گروه TraderTraitor را یک گروه هکری تحت حمایت دولت کره شمالی توصیف کردند که دست‌کم از سال ۲۰۲۰ فعال بوده و رمزارزها را با هدف «حمایت از حکومت کره شمالی» سرقت و پول‌شویی می‌کند. در این هشدار آمده است که فعالان صنعت امنیت سایبری این گروه را با نام‌های مختلفی از جمله Lazarus Group، APT38 و BlueNoroff ردیابی می‌کنند.
اف‌بی‌آی همچنین گروه TraderTraitor را مسئول هک ۱.۵ میلیارد دلاری صرافی Bybit در فوریه ۲۰۲۵ دانسته بود. اطلاعیه اخیر این نهاد شواهدی را که مبنای انتساب حمله به این گروه بوده‌اند، افشا نکرد. با این حال، شرکت‌های تحلیل بلاک‌چین Chainalysis، Elliptic و TRM Labs پیش‌تر با استناد به ارتباطات آن‌چین میان این سرقت و هک‌های قبلی منتسب به عوامل کره شمالی، سرقت بایننس را نیز به کره شمالی مرتبط کرده بودند.
بنیان‌گذار مشترک THORChain تعهدی برای مسدودسازی هکرها نداد
چد بارافورد، هم‌بنیان‌گذار فنی THORChain، شامگاه شنبه در شبکه ایکس نوشت: «اپراتورهای THORNode هیچ اطلاعاتی ندارند که از قبل به‌صورت عمومی و در لحظه در دسترس نباشد.» او در ادامه افزود: «نیازی به احضاریه نیست؛ این بهترین سناریوی ممکن برای تحقیقات است.» با این حال، پست‌های او از زمان وقوع هک مشخص نکرده‌اند که آیا اپراتورهای نود، آدرس‌های اعلام‌شده در اطلاعیه اف‌بی‌آی را مسدود خواهند کرد یا خیر.
به گفته Chainalysis، اوایل روز شنبه، بازسازمان‌دهی شبکه اتریوم باعث شد THORChain سپرده‌ای به ارزش ۱۰ ETH را دو بار بازپرداخت کند و همین اتفاق توقف اضطراری فعالیت این شبکه را در پی داشت. این شرکت تحلیلی اعلام کرد که این توقف، در اتفاقی تا حدی طعنه‌آمیز، امکان سواپ دارایی‌ها از طریق بیشتر بریج‌های THORChain را برای همه کاربران، از جمله هکرها، متوقف کرد.
بر اساس داده‌های نودهای THORChain، تا ساعت ۱:۲۰ بعدازظهر یکشنبه به وقت شرق آمریکا، معاملات در ۱۰ مورد از ۱۳ شبکه متصل به THORChain، از جمله ترون، اتریوم و بیت‌کوین، همچنان متوقف بود. معاملات مرتبط با ترون از حوالی ظهر روز شنبه متوقف شده بود.
سوماایکس‌بی‌تی گفت مهاجمان در قالب ۲,۶۹۷ واریز، ۱۸۵.۱ میلیون TRX و ۳.۸۳ میلیون USDT به THORChain فرستاده‌اند. در مقابل، THORChain معادل ۱۷,۰۱۹ ETH به ۱۷۰ آدرس و ۵۳.۲۵ BTC به ۲۰ آدرس پرداخت کرده است.
مهاجمان حدود ۱۲ درصد از دارایی‌ها را در قالب کارمزد و لغزش قیمت از دست دادند. رابط‌های کاربری فرانت‌اند نیز حدود ۱۴۵,۸۰۰ واحد RUNE، معادل تقریبی ۹۵ هزار دلار، به‌عنوان کارمزد همکاری یا افیلیت به دست آوردند. گروه Lazarus کره شمالی نیز در فوریه ۲۰۲۵ برای انتقال بخش بزرگی از اترهای سرقت‌شده در هک ۱.۵ میلیارد دلاری Bybit به بیت‌کوین، از THORChain استفاده کرده بود.
Relay، Chainflip و Symbiosis نیز وجوه سرقت‌شده را منتقل کردند
به گفته سوماایکس‌بی‌تی، Relay در قالب ۷۳۵ واریز، ۳۷.۶۴ میلیون USDT و ۳۹.۲۸ میلیون TRX دریافت کرد. او افزود که این پروتکل در پول‌شویی‌های مربوط به هک‌های قبلی گروه TraderTraitor «تقریباً نقشی نداشته است». روز شنبه، تحلیلگر آن‌چین Specter اعلام کرد هکرها طی هفت ساعت، ۳۸ میلیون دلار را از طریق Relay و با استفاده از بریج منتقل کرده‌اند. این اتفاق در حالی رخ داد که Relay گفته بود آدرس‌های تراکنش را با استفاده از داده‌های ریسک اشخاص ثالث، از جمله داده‌های Chainalysis، و همچنین یک فهرست مسدودسازی داخلی بررسی می‌کند.
داده‌های Etherscan نشان می‌دهد یک آدرس اتریوم طی حدود ۸۰ دقیقه در روز شنبه، در قالب ۹۷ پرداخت، ۲,۸۰۴ ETH و ۱.۰۲ میلیون USDT از روتر و حل‌کننده‌های Relay دریافت کرده است؛ رقمی که با آمار سوماایکس‌بی‌تی مطابقت دارد. این کیف پول، USDTها را در CoW Protocol به اتر تبدیل کرد و سپس حدود ۳,۲۵۷ ETH، معادل تقریبی ۷.۴ میلیون دلار، به چهار آدرس تازه منتقل کرد. هیچ‌یک از این چهار آدرس و همچنین آدرس دریافت‌کننده اولیه، در فهرست اف‌بی‌آی قرار ندارند.
بر اساس گزارش Lookonchain، هکرها روز یکشنبه به‌طور جداگانه تبدیل ۹۷۰,۵۲۲ SOL به ارزش حدود ۹۵.۹ میلیون دلار به بیت‌کوین را از طریق Relay آغاز کردند. کیف پول سولانای هکرها که تنها آدرس سولانای موجود در فهرست اف‌بی‌آی است، در یک ساعت منتهی به انتشار پست Lookonchain در ساعت ۵:۳۵ صبح به وقت شرق آمریکا، ۴۸۶,۹۷۰ SOL به ارزش ۴۶.۴ میلیون دلار جابه‌جا کرد. سواپ‌های مبتنی بر Relay پس از آن آغاز شدند که اف‌بی‌آی روز شنبه این کیف پول را به فهرست خود اضافه کرد. طبق داده‌های Solscan، این کیف پول در زمان انتشار گزارش حدود ۴۶۶,۷۰۰ SOL موجودی داشت؛ رقمی که با موجودی ثبت‌شده در ساعت ۹:۵۵ صبح به وقت شرق آمریکا یکسان بود.
سوماایکس‌بی‌تی گفت Chainflip در قالب ۵۷۱ واریز، ۴۹.۴۷ میلیون USDT دریافت کرد، اما بسیاری از سواپ‌ها ناموفق بودند. مبالغ مربوط به سواپ‌های ناموفق به کیف پول‌های تازه‌ای در ترون بازپرداخت شد و سپس دوباره به این سرویس فرستاده شد. مجموع این مبالغ به ۱۷.۹۱ میلیون USDT رسید. Chainflip سال گذشته برنامه‌ریزی کرده بود با اجرای یک ارتقا، مانع استفاده هکرهای Bybit از صرافی غیرمتمرکز میان‌زنجیره‌ای خود شود.
Symbiosis اوایل روز یکشنبه اعلام کرد تلاش‌هایی برای انتقال وجوه حاصل از هک بایننس از طریق پروتکل این پلتفرم شناسایی کرده و با بایننس در تماس است. Symbiosis در شبکه ایکس نوشت: «سازوکارهای غربالگری ما برای جریان‌های عادی طراحی شده‌اند، نه برای ردیابی تلاش‌های پیچیده و سریعی که با سرعت تغییر می‌کنند؛ بنابراین برخی سازوکارها شکاف‌هایی دارند.» این پلتفرم افزود: «در حال برطرف کردن این شکاف‌ها هستیم.»
به گفته سوماایکس‌بی‌تی، مهاجمان در قالب ۱,۳۶۷ واریز کوچک‌تر، ۴۹.۷۱ میلیون TRX به Symbiosis فرستادند. Symbiosis در ماه سپتامبر و پس از سوءاستفاده از بریج بیت‌کوین متعلق به خود، ۱۵ BTC را بازیابی کرده بود.
پول‌شویی خودکار، اما نه لزوماً با استفاده از عامل‌های هوش مصنوعی
شرکت تحلیل بلاک‌چین Elliptic روز شنبه اعلام کرد کیف پول اصلی توزیع وجوه هکرها در ترون، به مدت ۳۱ ساعت متوالی هر ساعت پرداخت انجام داده و هیچ‌گاه بیش از ۴۶ دقیقه بدون انجام پرداخت باقی نمانده است. مبالغ یکسانی نیز بارها در واریزهای THORChain تکرار شده‌اند؛ به‌طوری‌که یکی از این مبالغ ۱۹ بار تکرار شده است.
Elliptic گفت هرگاه یک بریج واریزی را رد می‌کرد، کیف پول‌های جدید به‌صورت خودکار وجوه را دوباره به همان مقصد ارسال می‌کردند. به گفته این شرکت، در پرونده Bybit الگوی پول‌شویی با الگوهای کاری انسان‌ها مطابقت داشت.
تام رابینسون، هم‌بنیان‌گذار Elliptic، در اظهارنظری که در اختیار The Block قرار گرفت گفت به نظر نمی‌رسد این فعالیت‌ها با دخالت عامل‌های هوش مصنوعی انجام شده باشند. رابینسون گفت: «الگو تکراری و ثابت است: همان مبالغ، همان ریتم و همان مسیرها، ساعت‌به‌ساعت.» او افزود تراکنش‌های آزمایشی و افزایش موجودی با مبالغ رُند نشان می‌دهند که «اپراتورها تصمیم‌گیری می‌کنند و اسکریپت‌ها کارهای تکراری را انجام می‌دهند.»
هکرها از مسدودسازی برخی استیبل‌کوین‌ها می‌گریزند
Elliptic تأیید کرده است که ۲.۸۵ میلیارد دلار از وجوه سرقت‌شده مسدود یا توقیف شده‌اند. این رقم حدود ۴۴ درصد از مجموع ۶.۴۳ میلیارد دلاری است که این شرکت به‌عنوان دارایی سرقت‌شده محاسبه می‌کند؛ ۹۴ درصد از وجوه مسدود یا توقیف‌شده نیز استیبل‌کوین هستند. هیچ‌یک از دارایی‌ها در شبکه‌های بیت‌کوین، XRP Ledger، سولانا یا NEAR مسدود نشده‌اند. به گفته این شرکت، حدود ۳.۲۵ میلیارد دلار، شامل ۱۸,۳۲۷ BTC و ۲۳۳ میلیون XRP، در قالب دارایی‌هایی نگهداری می‌شود که هیچ ناشری امکان مسدود کردن آن‌ها را ندارد.
بر اساس داده‌های Tronscan، USDTهای مسدودشده توسط تتر میان دو کیف پول متعلق به مهاجمان تقسیم شده‌اند: ۳۱۲.۷ میلیون USDT در یکی و ۶۵.۹۹ میلیون USDT در دیگری. داده‌های Mempool.space که The Block بررسی کرده است نشان می‌دهد هر ۱۸,۲۷۰ BTC همچنان در همان ۱۹ آدرس بیت‌کوینی قرار دارند که در فهرست اف‌بی‌آی آمده‌اند.
Chainalysis روز شنبه اعلام کرد هکرها استیبل‌کوین‌ها را به پروتکل‌های دیفای در شبکه ترون واریز می‌کردند و در ازای آن توکن‌های رسید سپرده دریافت می‌کردند؛ توکن‌هایی که قابل مسدودسازی نیستند. سپس این توکن‌ها را از آدرس‌های جدید بازخرید می‌کردند. این شرکت نام پروتکل مورد استفاده را اعلام نکرد. دیگر تحلیلگران آن‌چین این پروتکل را JustLend معرفی کردند، اما Chainalysis به پرسش The Block درباره اینکه آیا پروتکل مورد نظر JustLend بوده است، پاسخی نداد.
TRM Labs اعلام کرد ۳۰۰ میلیون USDT به یک کیف پول در شبکه ترون منتقل شده که «شروع به تأمین دارایی برای پروتکل وام‌دهی JustLend کرده است». داده‌های Tronscan نشان می‌دهد این کیف پول ۱۰,۰۰۰ USDT به JustLend واریز کرده، حدود ۲۳۴ میلیون USDT را در صرافی‌های غیرمتمرکز به TRX تبدیل کرده و ۶۵.۹۹ میلیون USDT را به یکی از دو کیف پولی فرستاده است که دارایی‌های آن‌ها مسدود شده بود.
The Block برای دریافت اظهارنظر با Relay، چد بارافورد، Chainflip و Bitget Wallet تماس گرفته است.