Bij de aanval op Binance op 29 oktober verdween omgerekend ongeveer 5,7 miljard euro van crypto.
Onderzoeksbedrijf TRM Labs schrijft de diefstal met hoge zekerheid toe aan TraderTraitor, een door Noord-Korea gesteunde hackgroep.
De onderzoekers zagen tussen 31 oktober en 2 november drie manieren waarop de daders de verbinding tussen de gestolen munten en nieuwe adressen moeilijker zichtbaar maakten.
Eigen munt als omweg
TRM Labs beschrijft hoe de aanvallers op het Tron-netwerk een eigen cryptomunt hebben gemaakt.
Met gestolen geld kochten verschillende adressen die munt. Een ander adres kreeg gratis nieuw aangemaakte munten en verkocht die vervolgens weer.
Daardoor liep het geld niet rechtstreeks van het ene verdachte adres naar het andere. De handel in de zelfgemaakte munt zat ertussen. Wie alleen de gestolen stablecoins volgde, kon zo de verbinding met het adres dat uiteindelijk geld ontving missen.
Digitaal ontvangstbewijs verplaatst het geld
Bij de tweede methode stortte een adres stablecoins bij een leenplatform. In ruil kreeg het een digitaal ontvangstbewijs, waarmee het gestorte geld later weer kan worden opgenomen.
De hackers stuurden alleen dat ontvangstbewijs naar een tweede adres. Dat adres wisselde het bewijs vervolgens in voor de stablecoins.
Op papier leek het daardoor alsof het eerste adres geld stortte en een losstaand adres geld opnam. De verbinding werd pas zichtbaar toen TRM ook de overdracht van het ontvangstbewijs volgde.
Twee cryptobruggen achter elkaar
De derde truc draait om cryptobruggen, diensten waarmee geld van het ene blockchainnetwerk naar het andere wordt verplaatst.
De aanvallers stuurden de opbrengst van de eerste brug rechtstreeks naar het stortingsadres van een tweede brug.
Normaal komt het geld tussendoor op een apart adres terecht. Dat adres kan onderzoekers of handelsplatforms waarschuwen dat de munten uit een hack komen. Door de twee bruggen direct te koppelen, verdween dat controlepunt uit beeld.
De methoden bouwen voort op de eerdere snelle verspreiding van de buit. Ze wissen het openbare transactiespoor niet, maar maken wel duidelijk dat onderzoekers meer moeten volgen dan alleen de gestolen munt zelf.