Atak na Binance: co się wydarzyło, jakie środki zamrożono i jakie wnioski z tego płyną

Przygotowania do ataku trwały co najmniej 36 godzin, a jego wykonanie, kolejno w poszczególnych sieciach, zajęło niespełna cztery godziny. Według przywołanych analiz emitenci rozpoczęli zamrażanie środków w ciągu godziny od pierwszych transferów, ale czas reakcji zależał od sieci, tokena i adresu. Łączna kwota zamrożonych środków nie pokazuje, ile zdążono wcześniej przesłać dalej lub wymienić. Wszystkie godziny podano w UTC.

W aktualizacji z 30 października Elliptic podaje 6,43 mld USD skradzionych środków i 2,84 mld USD zamrożonych. Oznacza to, że dla pozostałych 3,59 mld USD nie zgłoszono zamrożenia. To stan wynikający z doniesień na wskazany moment, a nie aktualny wykaz środków kontrolowanych przez sprawcę.

Co może się stać z pozostałymi środkami?

W podobnych kradzieżach środki są dzielone lub łączone, wymieniane na inne aktywa, przenoszone przez mosty między sieciami i kierowane do mikserów lub usług umożliwiających wypłatę. Podobne metody mogą zostać użyte także w tej sprawie. To możliwe scenariusze, a nie stwierdzenie, że wszystkie te metody już zastosowano w tej sprawie.

Chainalysis podaje, że część skradzionych stablecoinów szybko wymieniono na ETH, zanim zamrożenia zaczęły obowiązywać. Pokazuje to presję czasu: po wymianie nadal można śledzić środki, ale możliwości ich zatrzymania mogą być inne.

Śledzenie przepływów to punkt wyjścia. O skuteczności działań decydują czas i koordynacja. Wyniki analizy muszą dotrzeć do giełdy, emitenta lub zespołu organów ścigania, który może zareagować, zanim środki znajdą się poza jego zasięgiem. Zgłoszone zamrożenia pokazują, co daje współpraca. Środki wyprowadzone przed reakcją przypominają, że jej skuteczność trzeba oceniać także po tym, czego nie udało się zatrzymać.

Przygotowanie oznacza jasne ścieżki eskalacji, użyteczny materiał dowodowy i relacje między instytucjami z różnych jurysdykcji, wypracowane jeszcze przed incydentem. Podobny dostęp do pomocy powinny mieć mniejsze organizacje i indywidualni poszkodowani. Szybkie zgłoszenie i działania transgraniczne nie powinny zależeć od uprzywilejowanego dostępu do kontaktów w branży.

Europa potrzebuje partnerów także poza swoimi granicami. Jak opisaliśmy w październikowym newsletterze, Roman Bieda spędził cztery dni na zorganizowanym w Azji wydarzeniu INTERPOL-u poświęconym cyberprzestępczości, w którym uczestniczyli także przedstawiciele Tether. Takie rozmowy pomagają działającemu w Europie Recoveris nawiązywać współpracę ze śledczymi, organami ścigania i partnerami branżowymi w miejscach, do których mogą trafić skradzione aktywa. Praktyczny wymiar współpracy publiczno-prywatnej polega na dostarczaniu dowodów osobom, które mogą je ocenić i podjąć działania.

Recoveris wspiera te działania przez analizy, przygotowanie materiału dowodowego i koordynację z instytucjami oraz ich prawnikami. Zamrożenie zachowuje szansę na odzyskanie środków, ale ich zwrot wymaga dalszych działań prawnych i operacyjnych.

Recoveris pomaga giełdom, bankom i dostawcom usług w zakresie aktywów wirtualnych (VASP) śledzić skradzione środki, przygotowywać dowody i koordynować wnioski o zamrożenie z właściwymi platformami oraz organami ścigania. Dostępne działania zależą od rodzaju aktywów, miejsca ich przepływu i uprawnień poszczególnych instytucji.