بر اساس گزارش شرکت تحلیل بلاکچین الیپتیک (Elliptic)، عوامل وابسته به کره شمالی با ایجاد میم‌کوین‌های یکبار مصرف تلاش کرده‌اند حدود ۴۳۰ هزار دلار از دارایی‌های مرتبط با هک چند میلیارد دلاری بایننس را از طریق استخرهای نقدینگی صرافی‌های غیرمتمرکز جابه‌جا کنند.
گزارش تام رابینسون در ۹ نوامبر نشان می‌دهد که این افراد بین ۵ تا ۷ نوامبر، شش توکن به نام‌های FUK، OLCCL، MEILI، MMLI، DABI و SINU را روی شبکه نیر (NEAR) ایجاد کردند. هزینه ساخت هر توکن حدود ۲۵ توکن NEAR معادل ۹۰ دلار بوده است. مهاجمان پس از جفت کردن این توکن‌ها با NEAR در استخرهای معاملاتی اختصاصی، حدود ۱۱۷ هزار NEAR سرقتی را از این مسیر هدایت کردند. فعالیت‌های مشابهی روی شبکه ترون و همچنین سولانا با استفاده از توکن‌های کم‌حجم انجام گرفته است.
تبدیل انتقال به معامله در استخرهای نقدینگی
در این روش، دسته‌ای از کیف‌پول‌ها توکن‌های جدید را با ارز دیجیتال مسروقه خریداری کرده و همزمان دسته دیگری از کیف‌پول‌ها با فروش توکن‌ها در همان استخر، دارایی واقعی را برداشت می‌کردند. با قرار گرفتن استخر نقدینگی به عنوان واسطه، تراکنش مستقیمی بین کیف‌پول‌ها ثبت نمی‌شود و جریان وجوه به ظاهر شبیه سود معاملات روزمره به نظر می‌رسد.
ردپای تراکنش‌ها همچنان روی زنجیره قابل پیگیری است.
Tom Robinson
تام رابینسون به تیم‌های انطباق صرافی‌ها هشدار داد خروج وجوه از استخرهای نقدینگی لزوماً نشانه پاک بودن آن‌ها نیست. این روش پیش‌تر در جریان هک صرافی بای‌بیت نیز مشاهده شده بود و هدف اصلی آن ایجاد تاخیر در رهگیری توسط تحلیل‌گران است.
ردپای هک بایننس در تورنادو کش
سامانه رهگیری الیپتیک نشان می‌دهد دامنه پولشویی این سرقت به بیش از ۲۰ هزار کیف‌پول در ۱۶ شبکه بلاکچینی و ۶۵ هزار تراکنش در ۳۶ سرویس مختلف گسترش یافته است. از تاریخ ۸ نوامبر، کیف‌پول‌های مرتبط حدود ۷ هزار اتریوم معادل ۱۵ میلیون دلار را به تورنادو کش (Tornado Cash) واریز کرده‌اند. بخشی از این وجوه حاصل بیت‌کوین‌هایی بود که پس از تراکنش‌های کوین‌جوینت دوباره به اتریوم تبدیل شدند.
همچنین حدود ۳ هزار بیت‌کوین به ارزش ۲۲۵ میلیون دلار حاصل از تبدیل سایر دارایی‌ها در آدرس‌های جدید تجمیع شده است. با این حال بخش عمده بیت‌کوین و اتریوم‌های سرقتی هنوز دست‌نخورده باقی مانده‌اند. در حال حاضر حدود ۳ میلیارد دلار در آدرس‌های مرتبط نگهداری می‌شود و ۲.۸۵ میلیارد دلار نیز مسدود شده است.
جزییات نفوذ امنیتی و بازیابی دارایی‌ها
بایننس پیش از این اعلام کرده بود نفوذ به سیستم‌ها ناشی از فرآیند طولانی مهندسی اجتماعی، مصاحبه‌های استخدامی جعلی و آلودگی رایانه کاری یک مهندس توسعه‌دهنده به بدافزار بوده است. مهاجمان با سوءاستفاده از دسترسی‌ها و آسیب‌پذیری‌های مجوز EIP-7702 موفق به امضای تراکنش‌های مخرب شدند.
در حال حاضر صرافی بایننس برای بازیابی بیش از ۸٬۴۲۵ اتریوم و ۷۴.۵۶ میلیون توکن ARB که در شبکه آربیتروم توقیف شده، درخواستی را به حاکمیت این شبکه ارائه داده است. آزادسازی این دارایی‌های فریز شده نیازمند رای‌گیری اعضای سازمان خودگردان (DAO) است و احتمالاً فرآیند آن دست‌کم هفت هفته طول خواهد کشید.
