Les auteurs du vol de 6,3 Md$ chez Binance ont commencé à convertir des tokens Solana volés en Bitcoin, après avoir en grande partie vidé leurs wallets de transit sur Tron, selon des enquêteurs blockchain. Les fonds qui ont échappé aux gels imposés après le vol de jeudi entrent désormais dans une nouvelle phase de blanchiment.
Ce qui s'est passé sur Solana
Chainalysis a indiqué dimanche que la plupart des wallets de transit temporaires des hackers sur Tron avaient été vidés, le blanchiment s'étendant à Solana. La société évalue les transferts sur Tron à environ 500 M$.
Lookonchain a rapporté dimanche que les hackers avaient déplacé 486 970 SOL, soit environ 46,4 M$, et les échangeaient contre du BTC via Relay.
L'enquêteur SomaXBT affirme que le chiffre de 500 M$ comptabilise des mouvements répétés entre wallets. Selon son décompte, environ 242 M$ ont réellement quitté les wallets de transit sur Tron.
Automatisation et milliers de transactions
Vendredi, Chainalysis a déclaré que les hackers pourraient recourir à l'automatisation pour brouiller les pistes, en citant des milliers de transactions sur une courte période.
Les fonds ont circulé à de multiples reprises entre wallets, revenant parfois à des adresses utilisées plus tôt dans la séquence.
Gate gèle deux comptes
Une partie des fonds est arrivée sur la plateforme centralisée Gate. Lookonchain a indiqué lundi que les hackers y avaient déposé environ 250 000 $ au cours des 12 heures précédentes.
Gate a déclaré avoir gelé deux comptes liés et vouloir coopérer avec les forces de l'ordre. Le communiqué ne précise pas le montant gelé.
Où se trouvent les fonds
Catégorie | Montant |
|---|---|
Total volé (jeudi) | 6,3 Md$ |
Gelé par Tether, Circle et d'autres partenaires | environ 3 Md$ |
Toujours contrôlé par les attaquants (estimation de SomaXBT) | environ 3,5 Md$ |
Transferts sur Tron (brut, Chainalysis) | environ 500 M$ |
Sorties nettes des wallets Tron (SomaXBT) | environ 242 M$ |
SOL déplacés vers du BTC via Relay | environ 46,4 M$ |
Le FBI demande aux services de bloquer les transactions
Samedi, le FBI a attribué le vol au groupe nord-coréen TraderTraitor et publié des adresses de wallets liées aux actifs volés.
- Le FBI, le Secret Service américain et l'IRS Criminal Investigation ont exhorté les opérateurs de nœuds THORChain, les plateformes d'échange et les services DeFi à bloquer les transactions impliquant ces adresses
- La demande couvre aussi les fonds remontant aux adresses publiées
- Le FBI a observé des conversions principalement en ETH et s'attend à un blanchiment supplémentaire via la DeFi et les services d'échange instantané
Ce que dit Binance
Binance a confirmé que l'attaque avait compromis ses hot wallets. Les premières conclusions pointaient vers l'ordinateur portable piraté d'un employé, avant que les enquêteurs identifient d'autres points de faille.
La plateforme a commencé à rétablir les retraits dimanche, s'est engagée à couvrir les pertes et travaille avec les autorités américaines pour retracer et récupérer les actifs volés.