Dois dias após o maior roubo de criptomoedas já registrado, o hacker da Binance não movimentou uma única moeda dos cerca de US$ 484 milhões em Ether armazenados em duas carteiras, enquanto outras partes do saque estão sendo lavadas, segundo registros da blockchain e a empresa de análise Chainalysis.
Principais conclusões
214.720 ETH, no valor de cerca de US$ 484 milhões, permanecem intocados em duas carteiras do invasor desde o início da manhã de sexta-feira
Cerca de US$ 2 bilhões em USDT e USDC continuam congelados na carteira principal do invasor
O invasor continua vendendo tokens roubados de menor valor por meio de novas carteiras descartáveis; a venda mais recente ocorreu na manhã de sábado
A Chainalysis afirma que a lavagem em outras blockchains é automatizada e diferente de tudo que já viu, e uma interrupção na THORChain desacelerou parte da operação
A Binance reservou US$ 6,34 bilhões e transferiu 7.499 BTC de seu fundo de emergência; os saques devem ser retomados no início de domingo
Isso dá continuidade ao nosso primeiro rastreamento do dinheiro, na sexta-feira. Todos os horários são UTC, e todos os valores das carteiras abaixo foram verificados no Etherscan no sábado à noite.
Os US$ 484 milhões que não se moveram
A maior parte do Ether levado pelo invasor continua parada. Duas carteiras guardam quase todo o valor.
Carteira Ether guardado Valor Última entrada de dinheiro Saídas desde então 0x8532…43d4 197.460 ETH US$ 445 milhões Sex. 01:14 Nenhuma 0x03b0…20ea 17.260 ETH US$ 39 milhões Sex. 05:15 Nenhuma Total 214.720 ETH US$ 484 milhões
Fonte: Etherscan, verificado no sábado à noite. Valores calculados com o Ether a cerca de US$ 2.253.
Nenhuma empresa pode congelar Ether, então esse dinheiro pode ser movimentado quando o invasor quiser.
Os US$ 2 bilhões congelados continuam parados
A carteira principal do invasor ainda contém 1.175.464.712 USDT e 823.000.000 USDC. A Tether e a Circle a incluíram na lista negra poucas horas após o roubo, então nada disso pode ser movimentado. Agora, o saldo de Ether está zerado.
A Binance afirmou que o total congelado em todas as blockchains é de cerca de US$ 3 bilhões, valor que voltou a mencionar na sexta-feira. Recuperar esse dinheiro é um processo jurídico separado, que envolve os emissores dos tokens e as autoridades policiais.
Continuam vendendo os tokens menores
O invasor não parou de agir. O padrão na Ethereum se repete todas as vezes. A carteira principal envia um pouco de Ether para um endereço novo pagar as taxas de transação, além de um lote de um token roubado. O novo endereço vende os tokens pela Uniswap em uma série de transações rápidas e depois fica inativo.
Na manhã de sábado, fez isso duas vezes. Às 04:39, enviou 0,05 ETH e 53,3 milhões de tokens ZAMA para uma carteira nova. Às 04:57, enviou 0,05 ETH e 1,69 bilhão de tokens SOPH para outra. Ambas começaram a vender em poucos minutos. Na sexta-feira à noite, a carteira principal enviou 0,5 ETH para cada uma de outras cinco carteiras novas, da mesma forma.
São quantias pequenas perto dos US$ 484 milhões. Mas mostram que o invasor está ativo, é paciente com o montante maior e está ocupado com os menores.
Leia também: As antigas apostas de Sam Bankman-Fried agora valem US$ 61 bilhões, mas a FTX as vendeu por US$ 6 bilhões
O que está acontecendo em outras blockchains
A Ethereum é apenas parte da história. A Arkham, empresa de rastreamento de blockchain, contabilizou 141 transferências em nove blockchains entre 20:10 e 23:05 de quinta-feira, além de US$ 300 milhões retirados primeiro em XRP. Do total, US$ 4,9 bilhões saíram da Binance nos primeiros 14 minutos.
A Chainalysis afirma que o dinheiro que pode ser movimentado está sendo lavado de uma nova maneira. Seus investigadores estão “observando padrões de lavagem nunca vistos antes”, afirmou na sexta-feira, com milhares de transações em pouco tempo, o que sugere automação. Em vez de transferir os fundos adiante, os invasores ficam movimentando-os em ciclos entre endereços, muitas vezes enviando dinheiro de volta para carteiras usadas anteriormente.
Na TRON, os invasores estão numa corrida contra os congelamentos. A Chainalysis afirmou no sábado que eles estão trocando stablecoins por tokens de recibo de aplicativos de empréstimo. Esses tokens não podem ser congelados como o USDT, mas quem os possui pode depois trocá-los novamente por stablecoins a partir de um endereço limpo.
Uma rota de fuga está fechada por enquanto. A THORChain, um serviço que troca moedas entre blockchains, suspendeu as trocas entre blockchains no sábado depois que uma falha na Ethereum fez com que pagasse um reembolso duas vezes. Isso “atrasou inadvertidamente a lavagem de uma quantia significativa de fundos roubados da Binance”, escreveu a Chainalysis.
Como a Binance está pagando por isso
A Binance afirma que os clientes não perderão dinheiro. Na sexta-feira, disse ter reservado US$ 6,34 bilhões em fundos da empresa, dos quais US$ 5 bilhões já estavam nos mesmos tokens exatos que foram roubados. A empresa estava comprando o restante no mercado e por meio de acordos privados.
Até sábado, 10 tokens estavam totalmente cobertos, incluindo BTC, ETH, USDT, BNB, SOL e USDC, escreveu a cofundadora Yi He. A Binance continua comprando altcoins menores para cobrir a diferença.
A empresa também recorreu ao seu fundo de emergência SAFU. Uma transação de Bitcoin na tarde de sábado transferiu 7.499 BTC, cerca de US$ 581 milhões, para fora do endereço SAFU, que continha 7.825 BTC antes da transferência. Yi He disse que a Binance está usando metade do dinheiro do fundo SAFU e mantendo a outra metade no fundo. A Binance não explicou como esses dois valores se encaixam.
A Binance também mudou sua versão de como o ataque aconteceu. Primeiro, culpou o laptop comprometido de um engenheiro, mas na sexta-feira afirmou que sua investigação havia “identificado pontos adicionais de violação”.
O maior ano da Coreia do Norte
A Chainalysis afirmou, com “alto grau de confiança”, que a Coreia do Norte está por trás do ataque. Seus números mostram o quanto o país agora domina os crimes com criptomoedas. Ataques atribuídos à Coreia do Norte representam quase 89% das perdas relatadas em ataques neste ano, contra 15% em 2021, segundo a Chainalysis. O valor médio de um ataque norte-coreano subiu de cerca de US$ 51 milhões em 2021 para US$ 186 milhões em 2026, e o país está ligado a US$ 13,24 bilhões dos US$ 22,34 bilhões em perdas relatadas desde 2021.
Leia a seguir: US$ 2,8 bilhões saem das carteiras da Binance em uma noite, em ataque suspeito
O que acompanhar
Saques: a Binance afirmou na manhã de sexta-feira que seriam retomados em cerca de 45 horas, o que aponta para o início de domingo
Prova de reservas: uma nova captura foi feita no sábado, e a prova completa, que permite aos usuários conferir seus próprios saldos, deve ser divulgada na terça-feira, 3 de novembro
THORChain: quando as trocas forem retomadas, observe se as duas grandes carteiras de Ether começam a se movimentar
Relatório completo: a Binance prometeu uma análise técnica posterior sobre como o invasor conseguiu entrar