Elliptic: Tin tặc chuyển 50 triệu USD XRP bị đánh cắp từ Binance thành Bitcoin

Theo công ty phân tích blockchain Elliptic, tin tặc liên quan đến vụ trộm lớn Binance đã bắt đầu chuyển đổi một phần đáng kể số XRP bị đánh cắp thành bitcoin. Trong một bản cập nhật đến thứ Sáu, Elliptic báo cáo rằng khoảng 42 triệu XRP — trị giá khoảng 50 triệu USD — đã được chuyển đổi, chủ yếu qua THORChain.

Elliptic lưu ý rằng lượng bitcoin được chuyển đổi từ các tài sản bị đánh cắp khác đã tăng gần gấp đôi chỉ sau một đêm, đạt khoảng 1.650 BTC, trị giá khoảng 124 triệu USD, với tuyến đường XRP chiếm phần lớn mức tăng. Khoảng 192 triệu XRP, trị giá khoảng 226 triệu USD, vẫn chưa được chuyển đổi trong các địa chỉ liên quan đến vụ trộm Binance.

XRP là một phần của vụ rút tiền vào ngày 29 tháng 10 mà Binance sau đó ước tính là 6,34 tỷ USD. Trong khoảng thời gian từ 20:05 đến 20:09 UTC ngày hôm đó, 233,46 triệu XRP đã được chuyển từ năm ví nóng đến một địa chỉ của kẻ tấn công. FBI đã liên kết chiến dịch này với nhóm TraderTraitor của Triều Tiên. Binance đã dần dần mở lại các đợt rút tiền, tuyên bố đã đóng băng hoặc chặn được khoảng 2,85 tỷ USD trong khi bù đắp tổn thất cho khách hàng từ quỹ riêng của mình.

Cách XRP bắt đầu di chuyển

Số XRP bị đánh cắp ban đầu vẫn không hoạt động. Elliptic cho biết từ 02:12 đến 04:00 UTC ngày 2 tháng 11, toàn bộ khoảng 233 triệu XRP đã được chuyển vào sáu địa chỉ mới, nơi chúng nằm yên cho đến ngày 5 tháng 11. Bắt đầu từ chiều ngày 5 tháng 11, hai trong số sáu địa chỉ đó bắt đầu gửi XRP đến hàng chục tài khoản mới, những tài khoản này đã chuyển đổi chúng, chủ yếu qua THORChain thành bitcoin.

Một lượng nhỏ ether cũng đã được chuyển đổi thành bitcoin qua THORChain vào tối hôm đó. Elliptic cho biết lượng bitcoin và ether chính từ vụ trộm — các pool lớn nhất — vẫn chưa di chuyển. Mô hình đó khớp với những gì công ty quan sát được sau vụ hack Bybit: chuyển đổi các token có thể đóng băng và có thanh khoản trung bình thành bitcoin trước, sau đó cố gắng rút tiền mặt sau thông qua các nhà môi giới OTC.

Dấu vết rửa tiền rộng hơn đã rất phong phú. Kể từ vụ trộm Binance, Elliptic đã xác định được hơn 20.000 ví trên 16 blockchain, ít nhất 36 dịch vụ và ít nhất 65.000 giao dịch — khoảng một ví mới mỗi 30 giây và một giao dịch mỗi 10 giây. Khoảng 3,11 tỷ USD vẫn còn trong các địa chỉ liên quan đến vụ trộm Binance, chủ yếu là ether và bitcoin. Một lượng không đáng kể có thể đã được rút tiền mặt cho đến nay.

Tại sao XRP và bitcoin lại quan trọng ở đây

Nhiều stablecoin có thể bị đóng băng bởi các tổ chức phát hành, nhưng XRP không thể bị đóng băng theo cách tương tự, cũng như bitcoin. Sau khi Tether và Circle đóng băng các phần stablecoin lớn vào ngày 29 tháng 10, kẻ tấn công đã ưu tiên các tài sản nằm ngoài công tắc tiêu diệt đó. Việc chuyển đổi XRP thành bitcoin tiếp nối logic đó, vì bitcoin khó thu hồi hơn khi đã bị phân mảnh qua các địa chỉ mới.

Toàn bộ số SOL bị đánh cắp, khoảng 87 triệu USD theo giá của Elliptic, đã được chuyển đổi, bắc cầu hoặc trộn lẫn, phần lớn kết thúc dưới dạng bitcoin. Hầu hết hoạt động rửa tiền TRON ban đầu — khoảng 220 triệu USD bằng TRX — cũng đã được xử lý, một dòng chảy đã được ghi nhận trước đó khi đề cập đến việc đóng cửa âm thầm của T3 Financial Crime Unit trước vụ hack. Chỉ những phần nhỏ của các đống ether và NEAR chính mới di chuyển.

Một số bitcoin được chuyển đổi đã tham gia vào các coinjoin kiểu Wasabi — khoảng 33 BTC, tương đương 2,5 triệu USD, kể từ ngày 1 tháng 11 — và khoảng 1,1 triệu USD bằng ether và SOL đã vào pool Privacy Cash trước khi dịch vụ đó tạm dừng nạp tiền. Elliptic cho biết tốc độ này gợi ý tự động hóa thông thường thay vì một tác nhân AI đưa ra quyết định thời gian thực: thời gian cố định, số lượng đặt sẵn, thử lại mù quáng và các chiến thuật mới được giới thiệu cách nhau vài giờ.

Các giám sát viên ngân hàng Mỹ đã liên hệ với các tổ chức cho vay sau vụ vi phạm Binance. Đối với thị trường bitcoin, câu hỏi gần hơn là bao nhiêu trong số khoảng 192 triệu XRP còn lại — và cuối cùng là ether đang nằm yên — sẽ được chuyển thành BTC trước khi bất kỳ ai cố gắng rút tiền mặt.

Thử thách bây giờ là liệu các nhà điều hành THORChain và các cầu nối khác có thể chặn các địa chỉ của kẻ tấn công đã được công bố đủ nhanh để làm chậm đường ống XRP sang bitcoin hay không, hay liệu phần còn lại của đống đó có theo cùng một con đường qua đêm như 50 triệu USD đầu tiên đã thực hiện hay không.