ติดตามเส้นทางการฟอกเงินของแฮกเกอร์ Binance ดูว่าเงิน 3 พันล้านดอลลาร์ที่ยังไม่ถูกเคลื่อนย้ายจะหลบหนีไปได้อย่างไร

บทความนี้มาจาก:นักวิเคราะห์ on-chain SomaXBT

เรียบเรียงโดย | Odaily@OdailyChina) ; ผู้แปล | Azuma@azuma_eth)

ผ่านไปสามวันแล้วนับตั้งแต่ Binance ถูกโจรกรรมเป็นมูลค่า 6.3 พันล้านดอลลาร์ ณ เวลา 21:27 น. ของวันที่ 1 พฤศจิกายน ผู้โจมตี (ทีมฟอกเงิน) ได้ฟอกเงินออกไปแล้วประมาณ 242 ล้านดอลลาร์ผ่านเส้นทางการโอนเงินเพียงเส้นทางเดียวคือ Tron (波场) และหลังจากการอายัดครั้งก่อน ผู้โจมตียังคงควบคุมเงินที่ได้จากการโจรกรรมไว้ประมาณ 3.5 พันล้านดอลลาร์

ต่อไปนี้คือการวิเคราะห์ฉบับสมบูรณ์ของการฟอกเงินของผู้โจมตีครั้งนี้ ซึ่งฉันได้ติดตามผ่าน on-chain tracking

ความเคลื่อนไหวบนเชน Tron

ผู้โจมตีได้โจรกรรมบนเครือข่าย Tron รวมเป็นเงิน 628 ล้านดอลลาร์ (ประกอบด้วย 612.7 ล้าน USDT และ 46.4 ล้าน TRX)

ในวันแรกของเหตุการณ์ Tether ได้อายัด 378.7 ล้าน USDT ส่วน TRX ที่เหลือประมาณ 249 ล้านดอลลาร์ยังคงอยู่ในการควบคุมของผู้โจมตีและถูกโอนย้ายต่อไป หลังจากนั้นเงินจำนวนนี้ถูกแบ่งออกเป็นสามเส้นทางหลัก

เส้นทางแรกคือการโอนผ่าน cross-chain bridge คิดเป็นเงินประมาณ 194 ล้านดอลลาร์ โดยมีเส้นทางต่อไปนี้ที่รับหน้าที่หลักในการโอนเงิน:

• Relay: 48 ล้านดอลลาร์;
• THORChain: 44 ล้านดอลลาร์;
• Chainflip: 32.1 ล้านดอลลาร์;
• Symbiosis: 16 ล้านดอลลาร์;
• USDT0: 5.5 ล้านดอลลาร์;
• Across: 4.7 ล้านดอลลาร์

เส้นทางที่สองคือการโอนผ่านบริการต่างๆ เช่น Bitget Wallet คิดเป็นเงินประมาณ 43 ล้านดอลลาร์ โดย Bitget Wallet คิดเป็น 41.7 ล้านดอลลาร์ นอกจากนี้ยังมี Bridgers และ NEAR Intents ปลายทางสุดท้ายของเงินเหล่านี้ยังคงต้องได้รับการยืนยัน

เส้นทางที่สามคือเงินที่ยังคงอยู่บนเครือข่าย Tron รวมเป็นเงินประมาณ 26 ล้านดอลลาร์ ปลายทางหลักประกอบด้วย:

• JustLend: 12 ล้านดอลลาร์;
• การแลก USDT เป็น USDD: 5.2 ล้านดอลลาร์;
• บัญชีบริการของ HitBTC: 4.2 ล้านดอลลาร์;
• บัญชีบริการของ Gate: 1.4 ล้านดอลลาร์;
• ChangeHero และบริการขนาดเล็กอื่นๆ

ที่เหลือประมาณ 22 ล้านดอลลาร์สูญเสียไปกับค่าธรรมเนียม สลิปเปอร์จ และความผันผวนของราคาในระหว่างกระบวนการโอนทั้งหมด เมื่อพิจารณาจากปลายทางของเงินหลังการ cross-chain เงินส่วนใหญ่ไหลเข้าสู่ Ethereum mainnet ในที่สุด รวมถึงประมาณ 53,300 ETH; นอกจากนี้ยังมีประมาณ 68.8 BTC ที่โอนเข้าสู่เครือข่าย Bitcoin; ประมาณ 15.9 ล้าน USDT และ 1.2 ล้าน USDC ยังคงอยู่บน Ethereum; 4.41 ล้าน USDC โอนเข้าสู่ Lighter; และมีเงินจำนวนเล็กน้อยไหลเข้าสู่ Arbitrum และ Base

ภาพด้านล่างแสดงเส้นทางการไหลของเงินที่ได้จากการโจรกรรมบนเครือข่าย Tron อย่างสมบูรณ์หลังการอายัด รวมถึง cross-chain bridge ต่างๆ ที่เงินผ่านไป และเชนปลายทางที่เงินไปถึงในที่สุด

เส้นทางหลบหนีที่หนึ่ง: THORChain

THORChain เป็นช่องทางเดียวที่ใหญ่ที่สุดที่ผู้โจมตีใช้ในการโอนเงินจากเครือข่าย Tron ในครั้งนี้ ผู้โจมตีได้ฝากเงิน 2,697 รายการ เข้าสู่ THORChain เป็นจำนวน 185.1 ล้าน TRX และ 3.83 ล้าน USDT

เงินที่โอนออกไปในที่สุดประกอบด้วย:

• 17,019 ETH กระจายไปยัง 170 ที่อยู่ Ethereum;
• 53.25 BTC กระจายไปยัง 20 ที่อยู่ Bitcoin;
• 268,928 USDT และ 90,025 USDC โอนเข้าสู่ Ethereum;
• 2.41 ETH โอนเข้าสู่ Base;
• 8.01 ZEC

นอกจากนี้ยังมี 46.87 ล้าน TRX และ 339,000 USDT ที่ถูกส่งคืนกลับไปยังกระเป๋า Tron ของผู้โจมตี ซึ่งต่อมาถูกโอนออกไปผ่านช่องทางอื่น

เมื่อพิจารณาจากยอดสุทธิ ผู้โจมตีแลกเปลี่ยนผ่าน THORChain ประมาณ 48.3 ล้านดอลลาร์ และได้รับเงินคืนในที่สุดประมาณ 42.7 ล้านดอลลาร์ โดยสูญเสียไปกับค่าธรรมเนียมและสลิปเปอร์จประมาณ 5.7 ล้านดอลลาร์ (12%) ส่วน frontend interface ที่ partici ในธุรกรรมเหล่านี้ได้รับส่วนแบ่งรายได้ประมาณ 145,800 RUNE (คิดเป็นประมาณ 95,000 ดอลลาร์)

ภาพด้านล่างแสดงให้เห็นว่าเงินที่โอนออกผ่าน THORChain ไหลไปยังบล็อกเชนใดในที่สุด และกระเป๋ารับเงินที่เกี่ยวข้อง

เส้นทางหลบหนีที่สอง: Relay Protocol

Relay Protocol มีบทบาทในการฟอกเงินครั้งนี้มากกว่าที่เคยเป็นมา

ในเหตุการณ์แฮ็ก TraderTraitor ที่ผ่านมา Relay แทบไม่มีส่วนร่วมในการฟอกเงินที่ได้จากการโจรกรรม แต่ในครั้งนี้ มันกลายเป็นช่องทางที่ใหญ่เป็นอันดับสองที่ผู้โจมตีใช้ในการโอนเงินจากเครือข่าย Tron ผู้โจมตีได้ฝากเงิน 735 รายการ เข้าสู่ Relay เป็นจำนวน 37.64 ล้าน USDT และ 39.28 ล้าน TRX

เงินที่เข้าบัญชีในที่สุดประกอบด้วย:

• 14,656 ETH กระจายไปยัง 52 ที่อยู่;
• 9.66 ล้าน USDT กระจายไปยัง 12 ที่อยู่ Ethereum;
• 4.41 ล้าน USDC โอนเข้าสู่ 43 บัญชีของ perpetual contract DEX Lighter (เงินเหล่านี้ถูกโอนออกไปทั้งหมดแล้วในภายหลัง);
• 0.656 BTC โอนเข้าสู่เครือข่าย Bitcoin

ความเร็วในการโอนเงินนั้นน่าทึ่งมาก ที่อยู่รับเงินที่ใหญ่ที่สุด (0xc8D516a53e28909d9eAB92642938762eA36F9093) ได้รับ 2,804 ETH และ 1.02 ล้าน USDT สะสมผ่าน 97 ธุรกรรม โดยกระเป๋า Tron บางแห่งส่งเงินประมาณ 100,000 USDT ให้เกือบทุกนาที

นอกจากนี้ 3.53 ล้าน TRX และ 1.19 ล้าน USDT ถูกส่งคืนกลับไปยังกระเป๋า Tron ของผู้โจมตี ซึ่งต่อมาถูกโอนออกไปอีกครั้ง

ภาพด้านล่างแสดงให้เห็นว่าเงินที่โอนผ่าน Relay ไหลไปยังบล็อกเชนใดในที่สุด และกระเป๋ารับเงินที่เกี่ยวข้อง

เส้นทางหลบหนีที่สาม: Chainflip

Chainflip เป็นช่องทางที่ใหญ่เป็นอันดับสามที่ผู้โจมตีใช้ และเป็นเส้นทางที่วุ่นวายที่สุดในกระบวนการทั้งหมด

ผู้โจมตีได้ฝากเงิน 571 รายการ เข้าสู่ Chainflip เป็นจำนวน 49.71 ล้าน USDT แต่ธุรกรรมการแลกเปลี่ยนจำนวนมากล้มเหลว ทุกครั้งที่ธุรกรรมล้มเหลว เงินจะถูกส่งคืนกลับไปยังกระเป๋า Tron ที่สร้างขึ้นใหม่ จากนั้นผู้โจมตีก็จะโอนเงินนั้นกลับเข้าสู่ Chainflip ทันทีเพื่อพยายามแลกเปลี่ยนอีกครั้ง

มี USDT สะสม 17.91 ล้านที่ถูกส่งคืนเนื่องจากการล้มเหลวของธุรกรรมและได้เริ่มการโอนใหม่ โดยเงินบางส่วนถูกพยายามซ้ำหลายครั้ง

เงินที่โอนออกสำเร็จในที่สุดประกอบด้วย:

• 13,174 ETH กระจายไปยัง 196 ที่อยู่ Ethereum;
• 415,604 USDT โอนเข้าสู่ Ethereum;
• 14.94 BTC โอนเข้าสู่ 2 ที่อยู่ Bitcoin

ภาพด้านล่างแสดงให้เห็นว่าเงินที่โอนผ่าน Chainflip ไหลไปยังบล็อกเชนใดในที่สุด และกระเป๋ารับเงินที่เกี่ยวข้อง

เส้นทางหลบหนีที่สี่: Symbiosis

Symbiosis เป็นช่องทางการโอนเงินที่ใหญ่เป็นอันดับสี่ แตกต่างจากเส้นทางก่อนหน้านี้ ผู้โจมตีใช้วิธีการกระจายวงกว้างที่นี่ แทนที่จะโอนเงินก้อนใหญ่แบบรวมศูนย์ — พวกเขาได้ฝากเงินรายย่อย 1,367 รายการ เข้าสู่ Symbiosis เป็นจำนวน 49.71 ล้าน TRX

เงินที่เข้าบัญชีในที่สุดประกอบด้วย:

• 6,846 ETH กระจายไปยัง 402 ที่อยู่ Ethereum;
• 130,129 USDC โอนเข้าสู่ Ethereum;
• 14.45 ETH โอนเข้าสู่ Arbitrum

นอกจากนี้ยังมีการฝากเงิน 28 รายการ (รวม 1.04 ล้าน TRX) ที่การแลกเปลี่ยนล้มเหลว ซึ่งต่อมาถูกส่งคืนกลับไปยังกระเป๋า Tron ของผู้โจมตีในรูปแบบ 336,000 USDT

ภาพด้านล่างแสดงให้เห็นว่าเงินที่โอนผ่าน Symbiosis ไหลไปยังบล็อกเชนใดในที่สุด และกระเป๋ารับเงินที่เกี่ยวข้อง

เส้นทางอื่นๆ

นอกเหนือจากเส้นทางหลักข้างต้น ผู้โจมตียังได้โอนเงินผ่านช่องทางอื่นๆ

เงินอื่นๆ ที่โอนออกจากเครือข่าย Tron มีปลายทางดังนี้:

• Bitget Wallet: ประมาณ 41.7 ล้านดอลลาร์ โดย 36.9 ล้านดอลลาร์โอนผ่านฟังก์ชัน "แลกเปลี่ยน + cross-chain" และ 4.81 ล้านดอลลาร์โอนผ่าน cross-chain bridge ของมัน นี่เป็นเส้นทางที่ยังคงมีเงินจำนวนมากที่ปลายทางยังไม่ชัดเจน โดยปลายทางนั้นอยู่ในความควบคุมของบริการนี้และยังต้องได้รับการยืนยันเพิ่มเติม
• USDT0: 5.69 ล้าน USDT แลกเป็น 5.5 ล้าน USDT0 โอนเข้าสู่ Ethereum และอีก 33,500 USDT0 โอนเข้าสู่ Arbitrum ส่วนที่เหลือ 158,500 ดอลลาร์ไม่สามารถส่งมอบได้สำเร็จ ยังคงค้างอยู่ใน cross-chain bridge และอาจถูกอายัดแล้ว
• Across Protocol: 4.63 ล้าน USDT แลกเป็น 1,615 ETH และ 991,000 USDC โอนเข้าสู่ Ethereum
• Bridgers: 1.51 ล้านดอลลาร์
• NEAR Intents: 171,000 ดอลลาร์

ปลายทางสุดท้ายของเงินในสองเส้นทางคือ Bridgers และ NEAR Intents ยังคงต้องได้รับการยืนยัน

เงินที่ยังคงอยู่บนเครือข่าย Tron มีดังนี้:

• JustLend: 12 ล้านดอลลาร์ และ 5.2 ล้านดอลลาร์ที่โอนผ่านการแลก USDT เป็น USDD;
• บัญชีบริการของ HitBTC และ Gate: 4.17 ล้านดอลลาร์ และ 1.4 ล้านดอลลาร์ตามลำดับ;
• ChangeHero: 432,000 ดอลลาร์;
• Fixed Float และบริการขนาดเล็กอื่นๆ

ภาพด้านล่างเน้นแสดงเส้นทางการโอนเงินขนาดเล็กเหล่านี้ และเงินที่ยังคงอยู่บนเครือข่าย Tron

สถานะเงินทุนในปัจจุบัน

ณ เวลาที่เผยแพร่บทความ ผู้โจมตียังคงมีเงินประมาณ 7.5 ล้านดอลลาร์บนเครือข่าย Tron ส่วนเงินที่โอนออกผ่าน cross-chain แล้วยังคงเคลื่อนไหวต่อไปบนเครือข่าย Ethereum และ Bitcoin

สำหรับสินทรัพย์มูลค่ากว่า 3 พันล้านดอลลาร์ที่ยังคงอยู่ในการควบคุมของผู้โจมตีและเก็บไว้บนบล็อกเชนอื่นๆ (ประกอบด้วย 18,270 BTC, ประมาณ 519,000 ETH, 233 ล้าน XRP และ 970,000 SOL) ในปัจจุบันยังไม่ถูกโอนย้ายเป็นส่วนใหญ่

ข้างต้นคือการติดตามเส้นทางการไหลของเงินทั้งหมดของผู้โจมตีบนเครือข่าย Tron โดยเงินประมาณ 242 ล้านดอลลาร์ถูกฟอกออกไปแล้วในเวลาประมาณสองวัน ฉันยังคงติดตามการเคลื่อนไหวของเงินเหล่านี้บนเครือข่าย Ethereum และ Bitcoin ต่อไป พร้อมทั้งจับตาดูเงินที่ได้จากการโจรกรรมมูลค่ากว่า 3 พันล้านดอลลาร์ที่ยังไม่ถูกโอนย้ายอย่างใกล้ชิด