De aanvaller achter de miljardenhack bij Binance is opnieuw begonnen met het verplaatsen van gestolen crypto. Volgens blockchainonderzoeker Lookonchain wordt Solana via een lange route uiteindelijk omgezet in bitcoin.
Het gaat niet om een nieuwe aanval op Binance of THORChain. De transacties laten zien hoe de dader een deel van de bestaande buit over verschillende wallets, munten en blockchains probeert te verspreiden.
Gestolen Solana volgt route langs vier munten
Lookonchain meldde woensdagochtend dat de aanvaller Solana over meerdere wallets verdeelt en verkoopt voor de stablecoin USDC. Daarna wordt de USDC naar het Ethereum-netwerk verplaatst en gebruikt om ethereum te kopen.
In de laatste stap gaat de ethereum via THORChain over in bitcoin. THORChain is een netwerk waarmee gebruikers rechtstreeks munten op verschillende blockchains kunnen ruilen. Voor zo’n transactie is geen rekening bij een gewone cryptobeurs nodig.
Lookonchain koppelt de wallets op basis van blockchaingegevens aan de Binance-hack. De onderzoeker noemt bij deze nieuwe route geen totaalbedrag. Ook is nog niet onafhankelijk vastgesteld hoeveel bitcoin de aanvaller hiermee uiteindelijk onder controle heeft gekregen.
Bitcoin is moeilijker te blokkeren
De route verandert niet alleen de munt, maar ook de mogelijkheden om het geld tegen te houden. Uitgevers van stablecoins kunnen een verdacht walletadres blokkeren, waardoor de munten daar niet meer kunnen worden verstuurd. Bitcoin heeft geen centrale uitgever die hetzelfde kan doen.
Dat maakt bitcoin niet onzichtbaar. Alle transacties blijven openbaar op de blockchain staan. Onderzoekers moeten de geldstroom wel over meerdere netwerken en ruildiensten aan elkaar koppelen, waardoor het volgen ingewikkelder wordt.
Binance schreef dinsdag in zijn voorlopige incidentrapport dat ongeveer 970.500 SOL bij de aanval is verdwenen. Van de totale buit ter waarde van ongeveer 6,34 miljard dollar was volgens de beurs 2,85 miljard dollar bevroren of geblokkeerd. Die bedragen kunnen nog veranderen.
THORChain zelf is niet gehackt
THORChain verschijnt in dit verhaal als ruilroute. Er is geen aanwijzing dat de aanvaller het netwerk heeft gekraakt of geld van andere gebruikers heeft gestolen. De oorspronkelijke aanval vond plaats bij de interne walletdienst van Binance.