Со счетов организации из ЕС на CEX похищено более $106 млн; хакеры отмывают средства через ETH и Monero
Обзор Shenchao TechFlow DeepChain.
2 ноября известный ончейн-детектив ZachXBT выпустил экстренное предупреждение для сообщества. По его данным, 1 ноября европейская организация, предположительно институциональный инвестор, потеряла более $106 млн: криптоактивы несанкционированно вывели с кастодиальных счетов на нескольких централизованных биржах (CEX). Кража затронула внутренние контроли CEX и запутанную инфраструктуру децентрализованных мультичейн-систем, вновь став тревожным сигналом для институционального цифрового кастоди и указав на быструю эволюцию транснациональной профессиональной преступной сети.
По данным ончейн-мониторинга, украденные средства сначала быстро вывели из горячего кошелька биржи в виде стейблкоинов USDC и USDT, привязанных к доллару США. Крупные суммы стейблкоинов в короткий срок распределили по 11 основным адресам кражи. Это говорит о глубоком знакомстве атакующих с правами целевого аккаунта и правилами вывода. Личности пострадавших организаций и детали риск-контроля биржи пока не раскрыты. Масштаб инцидента — сотни миллионов долларов — делает его одним из крупнейших известных инцидентов безопасности в институциональном сегменте со второй половины года; он вызвал заметный резонанс в сфере управления криптоактивами и маркетмейкинга ликвидности.
Обмен ETH на Monero: многосетевая маршрутизация плетет лабиринт для отмывания
Получив доступ к средствам, группа в последние 24 часа активно отмывала активы в ончейне. Чтобы предотвратить возможную заморозку адресов эмитентами стейблкоинов Circle и Tether, хакеры через протоколы децентрализованных бирж обменяли USDC на нативный ETH. Далее сеть отмывания задействовала децентрализованные кроссчейн-платформы и сервисы мгновенного обмена. Активы быстро проводили через каналы мгновенного обмена без KYC, включая WellWallet и Kyrrex, и через кроссчейн-протоколы, такие как Wagyu, незаметно конвертируя крупные суммы в Monero (XMR) с выраженными свойствами анонимности.
Помимо конвертации в приватные токены, хакеры неоднократно перебрасывали активы между несколькими крупными блокчейн-сетями, используя некастодиальные кроссчейн-мосты и дробя средства на крайне малые суммы. Такая ячеистая схема отмывания существенно повышает стоимость анализа для ончейн-систем AML-мониторинга.
Не Lazarus: профиль новой профессиональной киберпреступной сети
Отвечая на предположения о причастности северокорейских хакеров, ZachXBT привел конкретные технические контраргументы. По его оценке, паттерны переводов, выбор каналов и несколько глубинных индикаторов отмывания с высокой уверенностью указывают: атаку совершила не спонсируемая государством группа Lazarus Group. В отличие от Lazarus, которая обычно использует фиксированные кроссчейн-мосты и характерные схемы агрегации, в этом случае агрессивно задействовались небольшие и средние платформы мгновенной торговли и более быстрые способы обналичивания через Monero. Такой способ действий больше соответствует продвинутым транснациональным профессиональным преступным группам, действующим с внутренним доступом.
Этот вывод показывает более серьезную реальность для индустрии безопасности: помимо государственных APT-групп, глобальные киберпреступные сети быстро осваивают продвинутые ончейн-инструменты отмывания. Профессиональные кластеры, способные проникать в CEX и смешивать активы через кроссчейн, становятся ощутимой угрозой, которую институциональный капитал больше не может игнорировать.
Защита бирж под новым прицелом: слепые зоны и предупреждения для институционального кастоди
Инцидент вновь привлек внимание к безопасности институциональных счетов на централизованных биржах. Атакующие сумели преодолеть высокоуровневые барьеры риск-контроля нескольких крупных бирж за короткое время и последовательно вывести $106 млн. Это обнажило хрупкие границы традиционных систем безопасности на основе API-ключей или учетных данных. Для институциональных инвесторов с крупными объемами криптоактивов хранение исключительно на торговых счетах создает риск полной потери: хакеры могут использовать фишинг или социальную инженерию, чтобы получить доступ через права сотрудников.
Внедрение мультипартийных вычислений (MPC) вместе с отложенным подтверждением по таймлоку стало абсолютным обязательным стандартом. Сейчас крупные комплаенс-аналитические компании совместно с глобальными биржами срочно помечают и блокируют ончейн-транзакции, связанные с 11 адресами из черного списка. Значительная часть средств уже ушла в анонимность Monero. Успешное возмещение ущерба в этом международном деле напрямую проверит пределы глобальной межведомственной судебной координации при экстренном реагировании.
