• 1 ноября неустановленная организация из ЕС лишилась более 106 миллионов долларов со счетов нескольких бирж.

• Украденные средства вывели в USDC и USDT, прежде чем началось их отмывание.

• Злоумышленники обменяли USDC на ETH, а затем воспользовались сервисами мгновенного обмена WellWallet и Kyrrex.

Стейблкоины выведены с биржевых счетов

1 ноября со счетов централизованных бирж, принадлежавших неустановленной организации в Европейском союзе, вывели более 106 миллионов долларов, а запись о транзакциях в блокчейне теперь стала общедоступной. Вечером 2 ноября ончейн-расследователь ZachXBT опубликовал цепочку движения средств в посте о расследовании в Telegram. По его словам, предположительно украденные средства вывели с нескольких счетов централизованных бирж в стейблкоинах USDC и USDT. Ни пострадавшая сторона, ни третьи лица публично не подтвердили ни сумму, ни способ хищения, а личность европейской организации не раскрывается. Прослеживаемая цепочка показывает, что возможность отследить средства намеренно устраняли поэтапно. Сначала злоумышленники обменяли USDC на эфир — самый глубокий и ликвидный торговый инструмент, доступный им на обменных площадках. Затем они провели эфир через сервисы мгновенного обмена с минимальными требованиями к подтверждению личности, в том числе WellWallet и Kyrrex. Эти сервисы предназначены для обмена одного актива на другой за считаные минуты и без полного пакета документов для проверки соответствия требованиям. На следующем этапе полученные средства конвертировали в Monero (XMR) — блокчейн первого уровня, ориентированный на конфиденциальность, где суммы переводов и их участники по умолчанию скрыты. На заключительном этапе стоимость перевели между несколькими публичными блокчейнами. Такая схема с использованием разных сетей обрывает цепочку отслеживания при каждом переходе и вынуждает расследователей каждый раз начинать привязку заново. ZachXBT указал, что основная часть переводов пришлась примерно на 24-часовой период, и отметил, что злоумышленники действовали быстро. Вывод средств в стейблкоинах также фиксирует стоимость похищенного на момент вывода — поэтому сумму в 106 миллионов долларов можно назвать точно, несмотря на молчание пострадавшей стороны. Вывод средств с нескольких счетов, а не с одного кошелька, указывает на скоординированную компрометацию учетных данных, а не на утечку одного ключа, хотя способ первоначального проникновения пока не установлен. ZachXBT также опубликовал несколько адресов, связанных с хищением, чтобы биржи и участники сообщества могли сверить поступающие депозиты со своими данными.

Окно заморозки после конвертации

ZachXBT добавил второй вывод: судя по нескольким признакам отмывания, он с высокой степенью уверенности считает, что за предполагаемой кражей стоит не Lazarus Group — северокорейская группировка, на счету которой серия взломов криптобирж, — а настоящая личность преступника остается неизвестной. Нерешенная часть дела носит операционный характер. Если средства действительно вывели с нескольких счетов на централизованных биржах, значит, взлом произошел на уровне учетных записей: до того, как стейблкоины удалось отметить, не сработали ни защита входа, ни контроль API-ключей и белых списков для вывода средств, ни перехват подозрительных выводов. Это важно, поскольку оба актива по-прежнему подконтрольны своим эмитентам. USDC и USDT предусматривают механизмы заморозки со стороны эмитента, и эмитент или платформа могут вмешаться, только пока стоимость сохраняет форму, доступную для контроля. Заморозка действует на уровне токена: эмитент может внести в черный список адрес, на котором хранится актив; на Ether или Monero эти полномочия уже не распространяются. Каждая конвертация лишает такой возможности: как только деньги становятся Ether, проходят через мгновенный обмен или попадают в Monero, окно закрывается. Для бирж этот эпизод подчеркивает необходимость быстрее обмениваться данными об адресах из черных списков и ужесточить KYT-оповещения — проверку в реальном времени, выявляющую депозиты с адресов из черного списка, — на разных платформах. Для организаций, хранящих крупные суммы на централизованных платформах, это еще один повод внедрить многофакторную аутентификацию, задержку перед выводом средств и распределенное хранение активов у нескольких провайдеров. Точная доля каждого из двух стейблкоинов в общей сумме похищенного не опубликована. Событие происходит на фоне масштабного обновления инфраструктуры самого эмитента USDC: Circle назначила на 1 декабря приостановку работы CCTP V1, своего устаревшего моста для USDC; в предварительной оценке COINOTAG результатов Circle (CRCL) за третий квартал прогнозируется прибыль на акцию в размере $0.40 наряду с ростом USDC; а согласно недавним данным за семь дней, объем USDC в обращении сократился на 800 миллионов. Эмитент обновляет свои инструменты именно тогда, когда воры демонстрируют, как быстро их можно обойти.

Неподтвержденная потеря, неизвестный злоумышленник

В данном случае доказательная база — это сам блокчейн: опубликованы адреса, задокументирована цепочка переходов, названа общая сумма, но подтверждения от организации, которая якобы потеряла деньги, до сих пор нет. По нашей оценке, наиболее вероятно, что точкой входа стала учетная запись, а не уязвимость протокола. Последующие меры не выглядят впечатляюще, но необходимы: смена учетных данных, проверка белых списков и заблаговременная маркировка для заморозки, которая срабатывает за считаные минуты, поскольку конвертация в Ether и Monero быстро лишает эмитента возможности вмешаться. Кражи учетных записей на централизованных платформах также не подпадают под большую часть страхового покрытия DeFi, рассчитанного на эксплойты ончейн-протоколов, а не на компрометацию учетных данных. Пока дело остается открытым: злоумышленник не установлен, след ведет через Monero и несколько мостов, а ни пострадавшая сторона, ни размер потери независимо не подтверждены.