A empresa de análise de blockchain Bitquery afirma que os indivíduos por trás do ataque hacker de US$ 6,3 bilhões à Binance controlavam, na sexta-feira, mais Bitcoin do que a Coinbase informou possuir para seus próprios investimentos e reservas operacionais no fim de setembro. A comparação ressalta a rapidez com que criptomoedas roubadas podem ser reunidas em grandes saldos — mesmo com as corretoras tentando congelar parte dos fundos.
Em um relatório publicado em sua página de investigações, a Bitquery rastreou 18.270 BTC — no valor de cerca de US$ 1,4 bilhão — em 19 endereços vinculados ao invasor. Esse total supera as reservas combinadas de Bitcoin da Coinbase para investimentos e operações em 30 de setembro, divulgadas pela corretora americana em um documento enviado à SEC.
Principais conclusões
A Bitquery rastreou 18.270 BTC até 19 endereços ligados aos atacantes após o ataque à Binance, num total de cerca de 1,4 mil milhões de dólares.
A Coinbase informou que detinha 17.954 BTC para investimento e 117 BTC para operações em 30 de setembro, num total de 18.071 BTC — cerca de 199 BTC menos do que o total dos atacantes.
A Binance afirmou que cerca de 3 mil milhões de dólares em ativos roubados tinham sido congelados e comprometeu-se a cobrir as perdas.
A TRM Labs atribuiu o ataque ao grupo TraderTraitor, ligado à Coreia do Norte, enquanto a Binance afirmou ter descoberto posteriormente outros pontos de intrusão.
Os saldos de Bitcoin dos atacantes superam as reservas divulgadas pela Coinbase
O retrato do rastreamento da Bitquery na sexta-feira mostrou 18.270 BTC distribuídos por 19 endereços ligados aos atacantes. O relatório da empresa descreve isto como uma consolidação de fundos roubados da infraestrutura de carteiras quentes da Binance.
Para contextualizar a dimensão, os ativos em Bitcoin mais recentes divulgados pela Coinbase, em 30 de setembro, são consideravelmente inferiores ao total ligado aos atacantes indicado pela Bitquery. De acordo com o documento da Coinbase apresentado à SEC, a empresa detinha 17.954 BTC para investimento e 117 BTC para operações, num total de 18.071 BTC. É importante notar que a divulgação da Coinbase não inclui Bitcoin detido em nome de clientes.
A BitcoinTreasuries.net também classifica a Coinbase em oitavo lugar entre as empresas cotadas em bolsa por quantidade de Bitcoin detida, usando como base para a lista o saldo de 17.954 BTC da Coinbase destinado a investimento. A comparação mostra que, pelo menos no momento do retrato, os atacantes da Binance tinham acumulado efetivamente uma reserva de Bitcoin em nome próprio superior à divulgada por uma grande operadora de corretoras para os seus registos corporativos.
Binance confirma ataque de 6,3 mil milhões de dólares e afirma que os fundos foram congelados
A Binance reconheceu o incidente na sexta-feira, confirmando que tinha sido vítima de um ataque de 6,3 mil milhões de dólares. A corretora afirmou que os investigadores conseguiram congelar cerca de 3 mil milhões de dólares em ativos roubados e que cobriria todas as perdas.
O valor congelado é fundamental para perceber por que razão os totais na blockchain podem parecer díspares nos retratos das análises: mesmo quando parte das criptomoedas roubadas fica imobilizada, o restante pode continuar a circular e a ser consolidado em endereços controlados pelos atacantes. O rastreamento da Bitquery na sexta-feira ilustra o tipo de redistribuição que pode ocorrer após um ataque, mesmo em meio a esforços para congelar os fundos.
A TRM Labs associou a operação ao grupo de hackers TraderTraitor, da Coreia do Norte. Entretanto, a Binance afirmou ter descoberto posteriormente outros pontos de intrusão, depois de inicialmente suspeitar que o computador portátil de um engenheiro de DevOps tinha sido comprometido.
O que a Bitquery diz sobre o fluxo e o momento das transações de Bitcoin
A Bitquery informa que 17 dos endereços de Bitcoin ligados aos atacantes detinham 1.000 BTC cada, enquanto o restante estava dividido entre outras duas carteiras. A empresa também atribui os Bitcoins roubados a carteiras quentes da Binance, acedidas “durante uma intrusão” que afetou nove blockchains em menos de quatro horas na quinta-feira.
Esse momento é importante para os participantes do mercado que acompanham a resposta a incidentes e os riscos de custódia. Um comprometimento rápido de várias blockchains, seguido de uma estruturação veloz das carteiras, pode reduzir o tempo de que as corretoras dispõem para detetar, isolar e congelar os fundos. Também ajuda a explicar por que razão as empresas de análise conseguem identificar rapidamente grandes saldos após a intrusão inicial, mesmo quando a empresa visada afirma que uma parte substancial foi congelada.
Rastreamento de Ether e troca de tokens durante a consolidação
O Bitcoin não foi o único ativo que a Bitquery associou aos atacantes. No mesmo retrato de sexta-feira, a empresa rastreou 508.621 ETH até endereços controlados pelos atacantes — um montante superior aos 495.362 ETH atribuídos à The Ether Machine na classificação de detentores de Ethereum da BitcoinTreasuries.net.
A Bitquery acrescenta que os atacantes roubaram inicialmente 200.630 ETH e, em seguida, acumularam Ether adicional ao trocar stablecoins e outros tokens roubados. Este detalhe aponta para um padrão comum em grandes ataques a corretoras: em vez de manter todo o valor roubado num único ativo, os atacantes costumam convertê-lo em outras moedas para movimentar os fundos através da liquidez disponível e dificultar o rastreamento.
Reconstruções na blockchain como estas ajudam os analistas a distinguir os roubos confirmados das movimentações posteriores. Também dão a investidores e operadores uma visão mais clara de quão rapidamente os saldos roubados podem ser transformados — seja em ativos que continuam líquidos e potencialmente disponíveis para venda, seja em posições que podem ser mantidas por mais tempo.
Enquanto a Binance prossegue a investigação da intrusão e os investigadores e o mercado em geral avaliam a atribuição feita pela TRM Labs, a próxima questão para os leitores deverá ser que proporção dos fundos restantes continua congelada e quanto os atacantes conseguem movimentar mais tarde. Os retratos dos saldos associados a endereços da Bitquery serão um dos principais conjuntos de dados a acompanhar para perceber se os ativos dos atacantes continuam a concentrar-se, a diversificar-se ou a mudar de mãos.
Este artigo foi originalmente publicado como Binance Hacker Bitcoin Windfall Exceeds Coinbase Treasury Holdings no Crypto Breaking News — a sua fonte de confiança para notícias sobre criptomoedas, Bitcoin e atualizações sobre blockchain.