החוקרים עקבו אחר העברות חוזרות ונשנות בין כתובות, כולל החזרות לארנקים ששימשו קודם לכן ברצף. כתובות רבות קיבלו תחילה בדיוק 1 TRX, האסימון המקורי של טרון המשמש לתשלום עמלות עסקה, לפני קבלת כספים נוספים והעברה של נכסים למקום אחר. Chainalysis הוסיפה: "הרצף החוזר הזה מצביע על תהליך פרוגרמטי להעברת וחלוקה מחדש של הכספים הגנובים".
החוקרים עוקבים אחר גישה וחיבור צפון קוריאה
מנכ"ל משותף של Binance, ריצ'רד טנג, חשף נקודות פריצה נוספות ועקף את בקרות האישור, לצד מנגנון השמדה עצמית שהרס כלים ועקבות. Chainalysis עקבה אחר זרימות יוצאות בערך ב-16:20 אחר הצהריים שעון מזרח ב-29 באוקטובר וזיהתה ארנק Ethereum הממומן באמצעות Tornado Cash, מערבל קריפטו שמטשטש קישורים בין הפקדות ומשיכות. הארנק הזה הגיש הרשאות חתומות תקפות, או הרשאות חתומות בחתימה קריפטוגרפית, מה שאיפשר לארנק חם של Binance להפעיל תוכנות שנפרסו על ידי תוקף ולהעביר נכסים לכתובות הנשלטות על ידי התוקף.
דפוסי הלבנה הצביעו בתחילה על מעורבות של Tradertraitor, קבוצת פשעי סייבר צפון קוריאנית. לאחר מכן צפתה Chainalysis נכסי Binance גנובים מתערבבים עם הכנסות מגניבת Bitget בספטמבר, שיוחסה בעבר לשחקנים צפון קוריאנים, מה שמחזק את ייחוס הפריצה ל-Tradertraitor. בנפרד, TRM Labs ייחסה את מתקפת Binance ל-Tradertraitor בביטחון רב, תוך ציטוט מודיעין Onchain ו-offchain.
Stablecoin Swaps מירוץ נגד הקפאת נכסים
שרשרת הסביר:
בקרות הקפאת מטבעות מסוג stablecoin ורשימה שחורה כאלה יכולים למנוע מכתובות ייעודיות להעביר אסימונים מושפעים, בעוד של-ether native אין מנגנון שווה ערך שנשלט על ידי מנפיק.
במשך כמעט 20 דקות, הארנק החליף 325 מיליון דולר ב-stablecoins בכ-285 מיליון דולר באתר, ואז העביר את 175 מיליון הדולר הנותרים לארנקים מתווכים 10 דקות מאוחר יותר. ההקפאות החלו ב-17:14 לפי שעון המזרח ב-29 באוקטובר, כאשר Chainalysis דיווחה על כ-2.8 מיליארד דולר הוקפאו בחשבון שלה ב-30 באוקטובר. Binance בנפרד הציבה את הסכום הכולל של כ-3 מיליארד דולר באותו יום.
הבורסה הודיעה גם שהיא השאירה יותר מ-6.34 מיליארד דולר בכספי החברה כדי לכסות את התקרית, לא כולל נכסים מוקפאים. מתוך סכום זה, 5 מיליארד דולר כבר הוחזקו באסימונים מושפעים. בוצעו רכישות דרך ערוצי שוק ומעבר לדלפק כדי להתאים את הנכסים הנותרים.