Понад $106 млн викрадено в європейської установи через рахунки на CEX; хакери відмивають кошти через ETH і Monero
Автор: Shenchao TechFlow DeepChain. Короткий підсумок: на тлі новин про безпеку ончейн-активів знову стався рідкісний масштабний злом. 2 листопада відомий ончейн-детектив ZachXBT оприлюднив термінове попередження: 1 листопада ймовірна європейська інституційна структура зазнала серйозного удару — понад $106 млн криптоактивів незаконно вивели з її рахунків на кількох централізованих біржах. Після початкового переказу коштів атакувальники за 24 години продемонстрували надзвичайно швидкі та складні методи відмивання в ончейні. Великий обсяг стейблкоїнів швидко обміняли на Ethereum, використовуючи миттєві обмінники без цензури, кросчейн-маршрутизацію ліквідності та приватну монету Monero для багаторівневої обфускації, щоб повністю розірвати відстежуваність коштів. Важливіше те, що за сукупністю поведінкових ознак відмивання ZachXBT з високою впевненістю виключає причетність відомого північнокорейського хакерського угруповання. Ця масштабна крадіжка, яка охоплює внутрішній контроль централізованих бірж і заплутані децентралізовані мультичейн-системи, знову активувала червоний рівень тривоги для захисту інституційних цифрових активів і засвідчила швидку еволюцію нової транснаціональної мережі професійних злочинців. $106 млн зникають: європейська структура раптово зіткнулася з великим виведенням коштів з біржі. За даними ZachXBT Community Alert, 1 листопада в установи, зареєстрованої в Європейському Союзі, стався раптовий інцидент безпеки. Атакувальники несанкціоновано вивели понад $106 млн з кількох кастодіальних рахунків на централізованих біржах, відкритих на ім’я цієї установи. Активність ончейн-адрес показує, що викрадені кошти спочатку швидко вивели з гарячого гаманця біржі у формі стейблкоїнів, прив’язаних до долара США, — USDC і USDT. Великі суми стейблкоїнів оперативно розподілили між 11 основними адресами крадіжки за короткий проміжок часу, що свідчить про глибоку обізнаність атакувальників із правами доступу до цільового рахунку та правилами виведення. Наразі конкретні особи постраждалих установ і деталі ризик-контролю біржі повністю не розкриті. Водночас масштаб інциденту сягає сотень мільйонів доларів, що робить його одним із найбільших відомих інституційних інцидентів безпеки з другої половини року та спричиняє помітний резонанс у секторах управління криптоактивами й маркетмейкінгу ліквідності. Обмін ETH на Monero: мультичейн-маршрутизація утворює лабіринт відмивання. Отримавши доступ до коштів, атакувальне угруповання провело інтенсивну операцію з відмивання в ончейні протягом останніх 24 годин. Щоб випередити потенційне заморожування ончейн-адрес емітентами стейблкоїнів Circle і Tether, хакери агресивно обміняли всі USDC на нативний ETH через протоколи децентралізованих бірж. Далі мережа відмивання почала глибше проникати в децентралізовані кросчейн- та миттєві обмінні платформи. Атакувальники швидко проводили активи через канали миттєвого обміну без KYC, зокрема WellWallet і Kyrrex, а також використовували кросчейн-протоколи на кшталт Wagyu, щоб непомітно конвертувати великі суми в Monero (XMR) із сильними властивостями анонімності. Окрім переведення в приватні токени, хакери неодноразово переміщували активи між кількома великими блокчейн-мережами, застосовуючи некастодіальні кросчейн-мости для подрібнення коштів на надзвичайно малі мікротранзакції. Така сітчаста мережа відмивання істотно підвищує витрати на аналіз для ончейн-систем AML-моніторингу. Виключення Lazarus: профіль нової мережі професійної кіберзлочинності. У відповідь на публічні припущення про відповідальність північнокорейських хакерів ZachXBT навів у звіті дуже конкретні технічні контраргументи. Він наголосив, що за моделями переказів, вибором каналів і кількома глибшими індикаторами відмивання з високою впевненістю можна стверджувати: атаку не проводило угруповання Lazarus Group, яке підтримується державою. На відміну від фіксованих кросчейн-мостів і специфічних схем агрегації, які зазвичай використовує Lazarus, у цьому випадку простежується агресивне використання малих і середніх платформ миттєвої торгівлі та швидших способів виведення Monero. Такий характерний modus operandi більше відповідає ознакам досвідчених транснаціональних професійних злочинних груп із внутрішнім проникненням. Цей аналіз відкриває галузі безпеки серйознішу реальність: окрім APT-груп, підтримуваних державами, глобальні кіберзлочинні мережі швидко опановують передові інструменти відмивання в ончейні. Професійні злочинні кластери, здатні проникати крізь CEX і змішувати активи через кросчейн-канали, стають відчутною загрозою, яку інституційний капітал уже не може ігнорувати. Захист бірж знову під питанням: сліпі зони та попередження для інституційного кастодіального зберігання. Цей масштабний випадок знову вивів на перший план безпеку інституційних рахунків на централізованих біржах. Атакувальники змогли подолати високі бар’єри ризик-контролю кількох великих бірж за короткий час і послідовно вивести $106 млн, оголивши крихкі межі традиційних систем безпеки на основі API-ключів або облікових даних. Для інституційних інвесторів, які тримають великі обсяги криптоактивів, зберігання активів лише на традиційних торгових рахунках залишає їх уразливими до повної втрати через використання хакерами внутрішніх повноважень співробітників за допомогою фішингу або соціальної інженерії. Застосування багатосторонніх обчислень (MPC) у поєднанні з відкладеним схваленням за таймлоком стало абсолютним обов’язковим стандартом. Нині великі комплаєнс-аналітичні компанії спільно з глобальними біржами терміново позначають і блокують ончейн-транзакції, пов’язані з 11 адресами з чорного списку. Втім, значна частина коштів уже зникла за завісою анонімності Monero, тож здатність успішно відшкодувати збитки в цій міжнародній справі прямо перевірить межі глобальної міжінституційної судової координації в умовах надзвичайного реагування.
