Хакер, стоящий за атакой на Binance 29 октября, начал использовать протоколы конфиденциальности для сокрытия движения украденных средств. По данным аналитической компании Elliptic, около 28 BTC — примерно $2,2 млн — прошли через 18 транзакций CoinJoin в период с 05:55 UTC 1 ноября до 06:02 UTC 2 ноября.
Первая подозрительная активность зафиксирована утром 1 ноября. Средства поступили из активов, конвертированных после исходной кражи. Аналитики выявили использование протокола WabiSabi, связанного с кошельком Wasabi Wallet. Этот протокол объединяет биткоины нескольких участников в общие транзакции, что затрудняет сопоставление входящих и исходящих монет. Однако CoinJoin не делает биткоин полностью неотслеживаемым — исследователи по-прежнему могут анализировать структуру транзакций, время и связи с ранее идентифицированными адресами.
По данным Elliptic, расследование охватывает примерно 12 000 кошельков, 11 блокчейнов и более 40 000 транзакций. Напрямую похищенные 18 270 BTC остаются распределены по 19 адресам без дальнейшего движения. Это означает, что через CoinJoin проходят конвертированные активы, а не исходные биткоины с тех адресов.
Elliptic оценивала инцидент 29 октября в $6,43 млрд, из которых около $2,85 млрд заморожены или изъяты. Под идентифицируемыми адресами остаются активы, связанные с кражей, примерно на $3,24 млрд. 94% ограниченных средств пришлись на стейблкоины — это подчеркивает, что эмитенты, такие как Tether и Circle, могут замораживать отдельные токены. Нативные биткоины, напротив, не могут быть заморожены частным эмитентом, что сохраняет децентрализованную природу сети, но оставляет следователям лишь прозрачный реестр транзакций.
Binance, как сообщается, выделила более $6,34 млрд собственных ресурсов для компенсации пострадавших активов. Наблюдение за перемещением средств продолжается.
