کره شمالی برای پولشویی دارایی‌های هک بایننس هر ۲۵ ثانیه کیف پول جدید می‌سازد

هکرهای وابسته به کره شمالی دارایی‌های سرقت‌شده از بایننس را با سرعتی کم‌سابقه جابه‌جا می‌کنند: به گفته الیپتیک، مهاجم تقریباً هر ۲۵ ثانیه یک کیف پول رمزارزی جدید می‌سازد. این شرکت تحلیل بلاکچین روز دوشنبه اعلام کرد که در کمتر از چهار روز، دارایی‌ها میان حدود ۱۲ هزار کیف پول روی ۱۱ بلاکچین و در بیش از ۴۰ هزار تراکنش پخش شده است.

مسدودسازی سریع استیبل‌کوین‌ها

در مقابل، صادرکنندگان استیبل‌کوین سریع‌تر عمل کردند. حدود ۲.۸۵ میلیارد دلار معادل ۴۴٪ از دارایی‌های سرقت‌شده مسدود یا توقیف شده است؛ در حالی که پس از هک ۱.۵ میلیارد دلاری بایدبای در فوریه ۲۰۲۵ این رقم تنها حدود ۳٪ بود.

سرعت مسدودسازی اهمیت داشت چون استیبل‌کوین‌ها ۳.۴۶ میلیارد دلار یعنی ۵۴٪ کل دارایی سرقت‌شده را تشکیل می‌دادند و ناشران آن‌ها می‌توانند دارایی را قفل کنند. به گزارش الیپتیک، تتر ۳۷ دقیقه پس از رسیدن USDT سرقت‌شده روی اتریوم به کیف پول مهاجم آن را مسدود کرد و سیرکل همه ۸۲۳ میلیون دلار USDC سرقت‌شده را پیش از هرگونه تبدیل قفل کرد.

با این حال، پیش از اعمال مسدودسازی‌ها مهاجم ۴۳۴ میلیون USDT را در صرافی‌های غیرمتمرکزی مانند یونیسواپ به ETH تبدیل کرد، ۱۹٬۷۶۲ ETH را در پروتکل وام‌دهی آوه در ازای ۵۹.۹ میلیون USDT قرض گرفت و ۲۳۴ میلیون USDT را به توکن TRX شبکه ترون تبدیل کرد. در مجموع حدود ۷۸۶ میلیون دلار استیبل‌کوین از دسترس مسدودسازی خارج شد.

حمله به کیف پول‌های گرم بایننس اواخر پنجشنبه آغاز شد. اف‌بی‌آی این سرقت را به TraderTraitor، گروه هکری وابسته به دولت کره شمالی، نسبت داده و صدها آدرس مرتبط را منتشر کرده است. بایننس که وعده جبران همه خسارات را داده، یکشنبه برداشت‌ها را از سر گرفت و در نخستین ۹ ساعت و نیم حدود ۳.۶۴ میلیارد دلار خروجی خالص ثبت کرد.

الگوی پولشویی؛ خودکار اما بدون هوش مصنوعی

پولشویی پس از حمله بی‌وقفه ادامه داشته است. در ترون که مسیر اصلی انتقال شد، فعالیت در یک ساعت به اوج حدود ۱٬۳۰۰ تراکنش رسید. این سرعت گمانه‌زنی‌هایی درباره استفاده از عامل‌های هوش مصنوعی ایجاد کرد، اما الیپتیک با اشاره به زمان‌بندی ثابت، مبالغ مشخص، تلاش‌های تکراری کورکورانه و توقف‌هایی که به ساعات کاری انسان شباهت دارد، این ایده را رد کرد.

الیپتیک نوشت که هرچند پولشویی آشکارا خودکار است، هیچ شواهدی ندیده که نشان دهد یک عامل هوش مصنوعی تصمیم‌گیری می‌کند.

دارایی‌های باقی‌مانده و مسیر نقد شدن

حدود ۳.۲۴ میلیارد دلار همچنان در آدرس‌های مرتبط با این سرقت باقی مانده است؛ عمدتاً ETH و ۱۸٬۲۷۰ بیت‌کوین سرقت‌شده که از روز حمله جابه‌جا نشده‌اند. الیپتیک می‌گوید بسیار محتمل است این دارایی‌ها هنوز در اختیار کره شمالی باشند، در حالی که بخشی از پول‌های در حال پولشویی ممکن است به شبکه‌های پولشویی چینی رسیده باشد. تنها مقدار ناچیزی به نظر می‌رسد نقد شده باشد و حدود ۱۶ میلیون دلار نیز به آدرس‌های حاوی عواید بهره‌برداری از بیت‌گت در سپتامبر منتقل شده است.

بر اساس الگوی حمله بایدبای، الیپتیک انتظار دارد مهاجم ETH خود را در دسته‌های کوچک به بیت‌کوین تبدیل کند و طی ماه‌ها از طریق کارگزاران OTC نقد کند. به گفته این شرکت، مسدودسازی‌های بیشتر دشوارتر خواهد بود چون ETH و بیت‌کوین قابل توقف نیستند و بهترین فرصت‌های باقی‌مانده در سرویس‌های متمرکز است که دارایی‌ها در نهایت باید در آن‌ها ظاهر شوند.

این سرقت ادامه یک دوره پرفشار برای امنیت رمزارزهاست. BTCPay Server از فروشندگان خواست سرورهای خود را خاموش کنند و صرافی برزیلی Mercado Bitcoin پس از یک هک ۴۰ میلیون دلاری برداشت‌ها را متوقف کرد. مشخص نیست این دو رویداد با حمله بایننس ارتباطی دارند یا نه.