Elliptic: Binance-Angreifer tauschen Beute in 2.300 Bitcoin

Die Angreifer aus dem Binance-Hack haben gestohlene Altcoins wie XRP, Solana und TRX im Wert von rund 175 Millionen Dollar in etwa 2.300 Bitcoin getauscht, hat das Analysehaus Elliptic auf der Blockchain nachverfolgt. Die Hauptbestände an Bitcoin und Ether liegen seit der Tat unberührt. Elliptic schränkt selbst ein, dass die Beschreibung der schnell wechselnden Geldflüsse unvollständig sein kann.

Rund 3,13 Milliarden Dollar liegen nach dem Stand vom Samstag, 8 Uhr UTC, noch auf Adressen, die Elliptic dem Diebstahl zuordnet, überwiegend als ETH und BTC. Die eigentliche Bitcoin-Beute, 18.270 BTC, verteilten die Angreifer noch in der Tatnacht auf 19 Adressen, und dort liegt sie bis heute.

Der Angreifer lief zuerst den Sperren davon

Am 29. Oktober zwischen 20:05 und 23:56 UTC flossen 6,43 Milliarden Dollar in Kryptowerten auf elf Blockchains von Binance ab, mehr als die Hälfte davon in Stablecoins. Deren Herausgeber können Guthaben einfrieren, und genau dagegen arbeitete der Angreifer in der ersten Stunde. Tether sperrte die gestohlenen USDT auf Ethereum 37 Minuten nach ihrem Eingang; bis dahin waren 434 Millionen USDT bereits in ETH getauscht. Circle fror alle 823 Millionen USDC ein, bevor auch nur ein Teil davon getauscht war.

Insgesamt sind laut Elliptic 2,85 Milliarden Dollar eingefroren oder beschlagnahmt.

Danach wurde das Tron-Netz zur Hauptroute. Ab dem 30. Oktober um 02:19 UTC verteilte eine einzelne Wallet 684,6 Millionen TRX in kleinen Beträgen auf Hunderte neue Adressen, von dort ging es über Brücken als ETH nach Ethereum. Rund 230 Millionen Dollar in TRX sind auf diesem Weg inzwischen gewaschen, im Tron-Netz liegt noch etwa eine Million Dollar. Am Abend des 31. Oktober schrieb die US-Bundespolizei FBI die Tat Nordkoreas Gruppe TraderTraitor zu.

XRP und Solana fließen über THORChain in Bitcoin

Seit dem 2. November läuft die Wäsche auf Bitcoin zu: Die gestohlenen Solana-Token, rund 90 Millionen Dollar, sind nach Elliptic vollständig getauscht, über Brücken verschoben oder gemischt. Die 233 Millionen XRP lagen bis zum 5. November still und verlassen seitdem in Schüben ihre Adressen, vor allem über den Tauschdienst THORChain, der nach seinem Stopp wegen eines Ethereum-Fehlers seit dem 3. November wieder Swaps ausführt.

Die Bitcoin-Bestände aus diesen Tauschgeschäften wuchsen entsprechend schnell: 470 BTC am Morgen des 4. November, 1.650 BTC am 6. November, rund 2.300 BTC einen Tag später. Ein Teil davon lief durch Coinjoins mit der Wasabi Wallet, bei denen viele Nutzer ihre Bitcoin in einer gemeinsamen Transaktion bündeln, damit sich Ein- und Ausgänge nicht mehr zuordnen lassen. Elliptic nennt dafür an einer Stelle 77 BTC seit dem 1. November, im Tagesprotokoll vom Samstag rund 88 BTC.

“The laundering is highly complex and clearly automated”, schreibt Elliptic-Mitgründer Tom Robinson in der fortlaufend aktualisierten Analyse, sinngemäß: Die Wäsche ist hochkomplex und erkennbar automatisiert. Mehr als 20.000 Wallets auf 16 Blockchains, mindestens 36 Dienste und mindestens 65.000 Transaktionen hat das Unternehmen gezählt, im Schnitt alle 30 Sekunden eine neue Wallet.

Elliptic erwartet als Nächstes den Tausch der Ether

Der größte Brocken steht noch aus: Von 1,34 Milliarden Dollar in ETH sind erst rund 3 Millionen bewegt, die neun größten Ether-Adressen mit 89 Prozent des Bestands ruhen seit dem 30. Oktober. Nach dem Muster des Bybit-Hacks rechnet Elliptic damit, dass der Angreifer auch diese Ether in Bitcoin tauscht und sie dann über OTC-Händler und Börsen auszuzahlen versucht.

Börsen gleichen Einzahlungen deshalb mit den bekannten Adressen ab, Elliptic stellt dafür eine kostenlose Sperrliste bereit. Binance selbst hat angekündigt, die Verluste seiner Kunden aus Firmenmitteln zu decken. Ob die Ermittler die 18.270 BTC auf den 19 Adressen erreichen, hängt nun daran, wann und wohin sie sich zum ersten Mal bewegen.