Hackers norcoreanos blanquearon unos 242 millones de dólares a través de Tron, según un analista

El analista on-chain y colaborador de Security Alliance (SEAL), SomaXBT, dijo el domingo que hackers norcoreanos blanquearon a través de Tron, en dos días, unos 242 millones de dólares robados a Binance. SomaXBT dijo que los atacantes robaron unos 628 millones de dólares en Tron y que tenían alrededor de 249 millones de dólares disponibles para transferir después de que Tether congelara 378,7 millones de USDT. SomaXBT atribuyó unos 194 millones de dólares de los 242 millones a transferencias fuera de Tron, otros 26 millones a fondos que permanecían en Tron y unos 22 millones a comisiones, deslizamiento y cambios de precios. SomaXBT cifró las salidas a través de Relay en 48 millones de dólares, a través de THORChain en 44 millones, de Chainflip en 32,1 millones y de Symbiosis en 16 millones, para un total de unos 140 millones de dólares. SomaXBT dijo que Bitget Wallet procesó otros 41,7 millones de dólares, cuyo destino final aún no se ha determinado.

Binance sufrió el jueves un robo de unos 6.300 millones de dólares, el mayor hackeo de criptomonedas registrado. El FBI atribuyó el sábado el ataque a TraderTraitor mediante una alerta publicada conjuntamente con el Servicio Secreto de Estados Unidos y la división de Investigación Criminal del IRS. El FBI dijo que los atacantes estaban convirtiendo los activos robados principalmente en Ethereum y que preveía más operaciones de blanqueo a través de protocolos DeFi y servicios de intercambio instantáneo. El FBI pidió a los operadores de THORNode, a los operadores de nodos RPC, a los exchanges instantáneos, a los servicios DeFi y a otros proveedores que impidieran las transacciones relacionadas con el robo. El FBI identificó 608 direcciones de Ethereum, 19 direcciones de bitcoin y una dirección de Solana como vinculadas al ataque, sin enumerar direcciones de Tron. La alerta no aportó pruebas que respaldaran la atribución, aunque Chainalysis, Elliptic y TRM Labs ya habían vinculado el robo con Corea del Norte mediante conexiones de blockchain con ataques anteriores.

Chad Barraford, cofundador técnico de THORChain, dijo el sábado por la noche que los operadores de THORNode no tienen información que no esté ya disponible públicamente en tiempo real. Barraford describió las citaciones judiciales como innecesarias y el acceso a la información como favorable para las investigaciones, pero sus publicaciones desde el hackeo no comprometieron a los operadores a bloquear las direcciones enumeradas. Chainalysis dijo que una reorganización de Ethereum el sábado hizo que THORChain reembolsara dos veces un depósito de 10 ETH, lo que provocó una suspensión de emergencia que detuvo la mayoría de los intercambios entre cadenas para todos los usuarios, incluidos los hackers. Los datos de los nodos de THORChain mostraban que a las 13:20 ET del domingo se habían suspendido las operaciones en 10 de las 13 cadenas conectadas, entre ellas Tron, Ethereum y Bitcoin; las operaciones en Tron estaban detenidas desde alrededor del mediodía del sábado. SomaXBT dijo que los atacantes depositaron 185,1 millones de TRX y 3,83 millones de USDT en THORChain mediante 2.697 depósitos. THORChain distribuyó 17.019 ETH entre 170 direcciones y 53,25 BTC entre 20 direcciones. Los atacantes sufrieron pérdidas de alrededor del 12 % por comisiones y deslizamiento, mientras que las interfaces de usuario recaudaron aproximadamente 145.800 RUNE, valorados en unos 95.000 dólares, en comisiones de afiliación.

SomaXBT dijo que Relay aceptó 37,64 millones de USDT y 39,28 millones de TRX mediante 735 depósitos, pese a haber tenido poca participación en el blanqueo de fondos tras ataques anteriores de TraderTraitor. El analista on-chain Specter dijo que los hackers transfirieron 38 millones de dólares a través de Relay en siete horas el sábado, pese a que Relay afirmaba realizar controles con información de riesgo de terceros, incluidos datos de Chainalysis, y una lista de bloqueo interna. Los datos de Etherscan mostraban que una dirección de Ethereum recibió 2.804 ETH y 1,02 millones de USDT del router y los solvers de Relay mediante 97 pagos en unos 80 minutos el sábado. La cartera receptora cambió los USDT por ether en CoW Protocol y transfirió unos 3.257 ETH, valorados en alrededor de 7,4 millones de dólares, a cuatro direcciones nuevas; ninguna de ellas aparecía en la lista del FBI, al igual que la cartera receptora.

Lookonchain informó de que los hackers empezaron por separado el domingo a cambiar 970.522 SOL, valorados en unos 95,9 millones de dólares, por bitcoin a través de Relay. La cartera de los hackers, la única dirección de Solana incluida en la lista del FBI, transfirió 486.970 SOL (46,4 millones de dólares) durante la hora anterior a la publicación de Lookonchain, a las 5:35 ET, y los intercambios a través de Relay comenzaron después de que el FBI incluyera la dirección en su lista el sábado. Los datos de Solscan mostraban que la cartera conservaba unos 466.700 SOL al publicarse la información, la misma cantidad que a las 9:55 ET.

SomaXBT dijo que Chainflip aceptó 49,47 millones de USDT mediante 571 depósitos, pero que numerosos intercambios fallaron y se enviaron reembolsos por un total de 17,91 millones de USDT a través de nuevas carteras de Tron para volver a presentarlos. Symbiosis dijo a primera hora del domingo que el protocolo había detectado intentos de transferir fondos procedentes del hackeo de Binance y que se estaba comunicando con Binance. Symbiosis reconoció que los controles diseñados para transacciones corrientes tenían deficiencias ante una actividad rápida y sofisticada, y dijo que estaba solucionándolas. SomaXBT dijo que los atacantes realizaron 1.367 depósitos de menor tamaño en Symbiosis, por un total de 49,71 millones de TRX.

Elliptic dijo que la principal cartera de distribución de los hackers en Tron realizó pagos cada hora durante 31 horas consecutivas, sin detenerse nunca por más de 46 minutos, mientras que se repitieron cantidades idénticas de depósitos en THORChain, incluida una que se repitió 19 veces. Elliptic dijo que nuevas carteras volvían a enviar automáticamente los depósitos rechazados en puentes a un mismo destino, a diferencia de los patrones de trabajo humanos observados durante el blanqueo relacionado con Bybit. Tom Robinson, cofundador de Elliptic, dijo que la actividad no parecía utilizar agentes de IA y citó los tamaños, horarios y rutas repetitivos de las transacciones; las transferencias de prueba y las recargas de cantidades redondas apuntaban, según él, a decisiones humanas respaldadas por scripts.

Elliptic verificó que se habían congelado o incautado 2.850 millones de dólares, alrededor del 44 % de los 6.430 millones de dólares que, según los cálculos de la firma, fueron robados; las monedas estables representaban el 94 % de la cantidad congelada o incautada. Elliptic dijo que no se habían congelado fondos en Bitcoin, XRP Ledger, Solana o NEAR, mientras que unos 3.250 millones de dólares permanecían en activos que los emisores no pueden congelar, entre ellos 18.327 BTC y 233 millones de XRP. Los datos de Tronscan situaban los USDT congelados por Tether en dos carteras de los atacantes con 312,7 millones de USDT y 65,99 millones de USDT. Los datos de Mempool.space mostraban que los 18.270 BTC permanecían en las 19 direcciones de bitcoin identificadas por el FBI.

Chainalysis dijo el sábado que los atacantes depositaron monedas estables en protocolos DeFi de Tron para obtener tokens de recibo de depósito que no pueden congelarse y luego canjearon esos tokens usando direcciones nuevas. Chainalysis no identificó el protocolo ni respondió a una pregunta sobre JustLend, señalado por otros analistas on-chain como el protocolo implicado. TRM Labs dijo que 300 millones de USDT llegaron a una cartera de Tron que empezó a aportar fondos a JustLend. Los datos de Tronscan mostraban que esa cartera depositó 10.000 USDT en JustLend, cambió unos 234 millones de USDT por TRX en exchanges descentralizados y transfirió 65,99 millones de USDT a una de las carteras congeladas.

Se contactó a Relay, Barraford, Chainflip y Bitget Wallet para pedir comentarios.