Chainalysis detecta patrones de blanqueo inéditos tras el hackeo de Binance por 6.300 millones de dólares

Los atacantes responsables del hackeo de Binance por 6.300 millones de dólares están intercambiando rápidamente los activos robados por otras criptomonedas mientras utilizan métodos de blanqueo nunca vistos. El 30 de octubre, Chainalysis dijo que los investigadores habían detectado miles de transacciones agrupadas en intervalos breves, lo que apunta a una automatización destinada a ocultar los movimientos de fondos. Elliptic informó de que los atacantes intercambiaron aproximadamente 786 millones de dólares en monedas estables robadas por Ethereum y Tron antes de que las congelaciones de activos entraran en vigor. Elliptic dijo que los atacantes aceptaron en ocasiones pérdidas sustanciales para acelerar esas conversiones.

Chainalysis dijo que los atacantes trasladan repetidamente los activos robados a través de redes de direcciones de criptomonedas conectadas. Algunas transferencias devuelven fondos a monederos utilizados anteriormente, lo que dificulta seguir el historial de transacciones. Chainalysis describió la actividad como «patrones de blanqueo que no habíamos visto antes» y citó las transferencias rápidas y repetitivas como indicios de una automatización sospechada.

Los investigadores detectaron numerosos monederos de Tron que recibían exactamente 1 TRX antes de recibir más fondos y transferirlos a otros lugares. La secuencia recurrente apunta a instrucciones programadas que coordinan transferencias entre numerosos monederos. Miles de transferencias superpuestas podrían dificultar las investigaciones al aumentar la cantidad de transacciones que los analistas deben examinar para determinar adónde fueron los activos robados.

La investigación de Elliptic concluyó que los atacantes intercambiaban rápidamente criptomonedas robadas en plataformas de negociación descentralizadas. En Ethereum, los atacantes intercambiaron aproximadamente 434 millones de USDT por 160.451 ETH utilizando Uniswap, 1inch y sistemas de solicitud de cotización de creadores de mercado. Los precios de ejecución estuvieron entre un 12 % y un 26 % por debajo de los precios vigentes en el mercado, lo que apunta a que para los atacantes la rapidez era más importante que conservar el valor íntegro de los activos. Los atacantes también intercambiaron aproximadamente 234 millones de USDT por 638 millones de TRX utilizando SunSwap. Se vendieron otros 48 millones de dólares en la moneda estable RLUSD de Ripple antes de que entraran en vigor restricciones adicionales.

Elliptic identificó ventas de aproximadamente 150 otros tokens robados por ETH en exchanges descentralizados. Estas conversiones consolidaron los activos robados en criptomonedas nativas, como ETH y TRX, que los emisores de tokens no pueden congelar directamente.

Sin embargo, una parte sustancial de los bitcoins robados siguió una ruta distinta. Elliptic descubrió que los atacantes utilizaron transferencias más pequeñas para distribuir 18.270 BTC entre 19 direcciones. La mayoría de las direcciones contenían aproximadamente 1.000 BTC cada una. La evaluación de Elliptic del 30 de octubre concluyó que ninguno de esos fondos en bitcoin había llegado a un exchange u otro servicio identificado.

Elliptic prevé que los atacantes trasladen más activos robados a través de otros monederos, puentes entre cadenas, mezcladores y servicios de negociación antes de intentar convertirlos en efectivo mediante corredores extrabursátiles y exchanges de criptomonedas.