По данным Ondology Labs, кошелёк Binance, уже находящийся под контролем злоумышленника, получил ещё один перевод на $200 миллионов USDT, который затем прошёл через несколько адресов.

Хронология переводов

Аналитики сообщили, что отдельный адрес биржи зачислил средства на скомпрометированный кошелёк Binance 14, и в течение 72 секунд злоумышленник вывел поступившие средства.

По данным Ondology Labs, средства затем были направлены на адрес Tether, который уже был заморожен, где они оставались обездвиженными в течение неопределённого периода.

Длительный доступ и вторичные захваты

Данные Bitquery указывают, что вредоносный код сохранял контроль над Binance 14 почти четыре часа, в течение которых кошелёк продолжал принимать депозиты и позволял повторные выводы.

Следователи также утверждают, что контроль над Binance 14 позволял отдавать команды второму кошельку, Binance 34, что позволило злоумышленнику извлечь через этот канал 823 миллионов USDC.

Подготовка и методы эксплуатации

Исследователи по безопасности отследили подготовительное финансирование через Tornado Cash, начавшееся 28 октября, и наблюдали тесты, проведённые на кошельках, принадлежащих злоумышленникам, до основной кражи.

До инцидента злоумышленник протестировал механизм EIP-7702: подписанное разрешение, которое позволяет кошельку выполнять код смарт‑контракта, согласно Ondology Labs.

Конвертации после кражи и действия эмитента

В течение 35 минут после взлома связанные адреса обменяли 435 миллионов USDT на 160,451 ETH, якобы заплатив премию в размере 17–20% к рыночным ценам, чтобы избежать возможного замораживания со стороны эмитента стейблкойна.

Bitquery подсчитал, что в шести из одиннадцати случаев Tether заморозил кошельки, которые уже были опустошены, что иллюстрирует вмешательство эмитента в связанные адреса.

Открытые вопросы

Ключевые аспекты остаются неясными, в том числе почему замороженный адрес Tether получил средства и точный вектор, который первоначально предоставил постоянный контроль над Binance 14.

И Ondology Labs, и Bitquery продолжают публиковать результаты по мере продвижения расследования и мониторинга связанной активности в блокчейне.