Elliptic: gli hacker convertono circa 50 milioni di dollari in XRP, perlopiù in bitcoin

In un aggiornamento che copre l'attività fino a venerdì, Elliptic ha detto che gli hacker collegati al furto ai danni di Binance, di dimensioni record, hanno convertito circa 42 milioni di XRP, per un valore di circa 50 milioni di dollari. Le conversioni hanno prodotto principalmente bitcoin e sono avvenute perlopiù tramite THORChain. Elliptic ha detto che i bitcoin ottenuti convertendo altri asset rubati sono quasi raddoppiati durante la notte, arrivando a circa 1.650 BTC, per un valore di circa 124 milioni di dollari. La conversione di XRP ha rappresentato la maggior parte dell'aumento. Circa 192 milioni di XRP, valutati circa 226 milioni di dollari, restavano da convertire in indirizzi associati al furto.

Binance ha valutato in 6,34 miliardi di dollari il furto del 29 ottobre, che comprendeva gli XRP. Quel giorno, cinque hot wallet hanno trasferito 233,46 milioni di XRP a un indirizzo dell'attaccante tra le 20:05 e le 20:09 UTC. L'FBI ha attribuito la campagna al gruppo TraderTraitor della Corea del Nord. Binance ha gradualmente ripristinato i prelievi. Binance ha detto che l'exchange aveva congelato o intercettato circa 2,85 miliardi di dollari e stava usando fondi della società per coprire le perdite dei clienti.

Elliptic ha detto che le riserve di XRP inizialmente inattive, pari a circa 233 milioni di XRP, sono state trasferite a sei nuovi indirizzi tra le 02:12 e le 04:00 UTC del 2 novembre. Secondo Elliptic, queste riserve sono rimaste nei sei indirizzi fino al 5 novembre. Nel pomeriggio del 5 novembre, due di quegli indirizzi hanno iniziato a distribuire XRP a decine di nuovi account per convertirli, prevalentemente in bitcoin tramite THORChain. Quella sera anche una piccola riserva di ether è stata convertita in bitcoin tramite THORChain. Elliptic ha detto che le principali riserve rubate di bitcoin ed ether, quelle più consistenti, sono rimaste intatte. La sequenza ricorda l'attività che Elliptic ha osservato dopo l'hack di Bybit: convertire in bitcoin i token congelabili e quelli con liquidità intermedia prima di tentare prelievi in contanti tramite broker OTC.

Dal furto ai danni di Binance, Elliptic ha monitorato oltre 20.000 wallet su 16 blockchain. Il conteggio di Elliptic comprende anche almeno 36 servizi e almeno 65.000 transazioni. L'attività equivale a circa un nuovo wallet ogni 30 secondi e una transazione ogni 10 secondi. Gli indirizzi associati al furto detengono ancora circa 3,11 miliardi di dollari, prevalentemente in ether e bitcoin. Finora è probabile che solo una quantità trascurabile sia stata convertita in denaro contante.

Gli emittenti possono congelare molte stablecoin, ma non possono congelare XRP nello stesso modo, né congelare bitcoin. Il 29 ottobre Tether e Circle hanno congelato consistenti riserve di stablecoin. In seguito, l'attaccante ha dato priorità agli asset che non rientrano in quei meccanismi di congelamento. Convertire XRP in bitcoin segue questa strategia, perché recuperare i bitcoin diventa più difficile quando vengono distribuiti tra nuovi indirizzi.

L'intera riserva di SOL rubata, valutata circa 87 milioni di dollari ai prezzi di Elliptic, è stata coinvolta in scambi, trasferimenti cross-chain o operazioni di mixing, e gran parte è diventata bitcoin. È avvenuta anche la maggior parte delle prime operazioni di riciclaggio riguardanti circa 220 milioni di TRX. La T3 Financial Crime Unit ha cessato discretamente le attività prima dell'hack. Si sono mossi solo quantitativi ridotti delle principali riserve di ether e NEAR.

Dal 1° novembre, circa 33 BTC di fondi convertiti, per un valore di 2,5 milioni di dollari, sono confluiti in coinjoin simili a quelli di Wasabi. Circa 1,1 milioni di dollari in ether e SOL sono entrati in Privacy Cash prima che il servizio sospendesse i depositi. Elliptic ha detto che la velocità dell'attività indicava l'uso di automazione convenzionale, non di un agente di IA che prende decisioni in tempo reale. Elliptic ha citato la regolarità degli orari, gli importi prestabiliti, i tentativi ripetuti senza distinzioni e i cambiamenti tattici separati da diverse ore.

Dopo la violazione della sicurezza ai danni di Binance, i supervisori bancari statunitensi hanno contattato gli istituti di credito. La questione immediata per i mercati del bitcoin è quanta parte dei circa 192 milioni di XRP rimanenti, e in seguito dell'ether inattivo, sarà convertita in bitcoin prima che inizino i tentativi di incasso. Resta da capire se gli operatori di THORChain e altri bridge riusciranno a bloccare abbastanza rapidamente gli indirizzi pubblicati dell'attaccante da rallentare ulteriori conversioni di XRP.