- Блокчейн-детектив ZachXBT нашёл группу пользователей, которые помогают запутать следы переводов украденной у Bitget криптовалют.
- Примерно эти же операторы участвовали в отмывании средств, похищенных у Kelp DAO.
Ончейн-исследователь ZachXBT утверждает, что обнаружил группу посредников, которые помогают перемещать средства, украденные во время взлома Bitget на $387,5 млн. Он связывает их с предполагаемыми северокорейскими операторами.
Особый интерес вызывает тот факт, что один из этих участников, по данным исследователя, уже появлялся при отмывании средств после атаки на Kelp DAO на $292 млн.
Некоторые участники, как утверждает ZachXBT, практически не скрывают свою операционную деятельность и обращаются за технической поддержкой в публичные Discord-серверы и Telegram-каналы сервисов, которые используют для проведения операций. Детектив привёл псевдонимы пяти таких пользователей.
Судя по наблюдениям ZachXBT, украденные активы не просто проходят через набор выбранных протоколов. В цепочке присутствуют реальные посредники, которые занимаются обменом, межсетевым перемещением и сокрытием происхождения средств.
Один посредник уже появлялся после взлома Kelp DAO
Наиболее примечательным стал участник, которого ZachXBT обозначил как Alias 4. Он уже выявлял этого оператора во время отмывания активов, украденных ранее у Kelp DAO.
18 апреля мост Kelp DAO подвергся атаке, в результате которой было выведено 116,500 rsETH примерно на $292 млн. Проекты Mandiant и CrowdStrike с высокой долей вероятности связали атаку с КНДР и со средней долей вероятности — с группой UNC4899, также известной как TraderTraitor.
Если связь Alias 4 с обоими эпизодами подтвердится, речь может идти о повторном использовании одной и той же инфраструктуры или внешних посредников после разных атак.
Сам ZachXBT пишет, что видел схожую модель и после нескольких других эксплойтов и намерен опубликовать собранные данные в ближайшие недели.
TraderTraitor уже использовала похожую модель отмывания
TraderTraitor — одна из групп северокорейской киберактивности, по крайней мере, так её обозначает ФБР.
В декабре 2024 года японская полиция совместно с ФБР связала TraderTraitor с кражей 4502,9 BTC стоимостью $308 млн у японской DMM Bitcoin. В феврале 2025 года ведомство официально возложило на КНДР ответственность за похищение $1,5 млрд у Bybit.
После атаки на биржу в ФБР отмечали характерную схему: часть активов быстро конвертировалась в биткоин и другие криптовалюты, после чего средства распределялись по тысячам адресов в разных блокчейнах.
Украденные средства уходят через мосты и CoinJoin
По данным ZachXBT, сейчас часть средств проходит через межсетевые мосты, после чего активы переводятся в биткоин и направляются в инструменты повышения приватности, включая Wasabi.
Wasabi — это не классический кастодиальный криптомиксер, куда пользователь переводит монеты. Согласно официальной документации Wasabi Wallet, это некастодиальный биткоин-кошелёк с поддержкой CoinJoin.
С помощью CoinJoin несколько участников объединяют входы и выходы в одной биткоин-транзакции. В результате значительно сложнее определить, какой конкретный вход соответствует определённому выходу. Именно поэтому технология может использоваться как обычными владельцами биткоина для повышения финансовой приватности, так и злоумышленниками для затруднения ончейн-анализа.
