Elliptic: Gestohlene XRP im Wert von rund 50 Millionen Dollar wurden größtenteils in Bitcoin getauscht

XRP-Umtausch lässt den Bestand an gestohlenen Bitcoin anwachsen

Laut dem Blockchain-Analyseunternehmen Elliptic haben mit dem Binance-Diebstahl in Verbindung stehende Hacker etwa 42 Millionen XRP im Wert von rund 50 Millionen Dollar umgetauscht, größtenteils über THORChain in Bitcoin. Das Update des Unternehmens, das die Aktivitäten bis Freitag erfasst, besagt, dass die Swaps den größten Teil des über Nacht verzeichneten Anstiegs der aus den gestohlenen Vermögenswerten stammenden Bitcoin ausmachten. Der Bestand an umgetauschten Bitcoin erreichte damit etwa 1.650 BTC im Wert von rund 124 Millionen Dollar.

Der Umtausch der XRP betrifft nur einen Teil der entwendeten Menge, nicht den Gesamtbetrag. Elliptic identifizierte etwa 192 Millionen XRP im Wert von rund 226 Millionen Dollar, die in mit dem Diebstahl verknüpften Adressen noch nicht getauscht wurden. Die XRP gehörten zu den Vermögenswerten, die bei dem Vorfall am 29. Oktober entwendet wurden; Binance bezifferte deren Wert später auf 6,34 Milliarden Dollar. Der Unterschied zwischen dem umgetauschten und dem noch vorhandenen Betrag deutet darauf hin, dass die XRP weiterhin bewegt werden, lässt jedoch nicht darauf schließen, wie viel als Nächstes verschoben wird.

Die XRP-Transfers aus dem Diebstahl begannen am 29. Oktober innerhalb eines kurzen Zeitfensters. Zwischen 20:05 und 20:09 UTC überwiesen laut dem Bericht fünf Binance-Hot-Wallets 233,46 Millionen XRP an eine Angreiferadresse. Das FBI hat die umfassendere Kampagne der nordkoreanischen Gruppe TraderTraitor zugeschrieben. Binance hat Auszahlungen schrittweise wieder aufgenommen und mitgeteilt, rund 2,85 Milliarden US-Dollar eingefroren oder abgefangen zu haben. Kundenverluste deckte die Börse aus eigenen Mitteln.

Die gestohlenen XRP wurden nach mehreren ruhigen Tagen schrittweise weiterbewegt

Die gestohlenen XRP flossen nicht sofort zu Umtauschdiensten. Elliptic zufolge wurden am frühen 2. November zwischen 02:12 und 04:00 UTC rund 233 Millionen XRP auf sechs neu erstellte Adressen übertragen. Anschließend blieben die Gelder dort bis zum 5. November liegen. Diese Pause trennte die anfängliche Übertragung von den späteren Swaps und verdeutlicht, warum der zeitliche Ablauf des Diebstahls wichtig ist: Die XRP-Bewegungen erstreckten sich über mehrere Tage und erfolgten nicht als eine einzige zusammenhängende Transaktion.

Ab dem Nachmittag des 5. November begannen zwei der sechs Adressen, XRP auf Dutzende neuer Konten zu verteilen. Diese Konten tauschten die Token anschließend überwiegend über THORChain in Bitcoin um. Elliptic verzeichnete an diesem Abend zudem eine kleine Menge Ether, die über THORChain in Bitcoin umgewandelt wurde. Das Muster deutet darauf hin, dass die XRP-Swaps Teil eines umfassenderen Versuchs waren, gestohlene Vermögenswerte über verschiedene Dienste zu bewegen und in andere Formen umzuwandeln, statt lediglich die ursprünglichen Token zwischen Wallets zu übertragen.

Nicht alle größeren Bestände wurden auf diese Weise bewegt. Elliptic zufolge sind die größten mit dem Diebstahl in Verbindung stehenden Bitcoin- und Ether-Bestände weiterhin unangetastet, während nur kleinere Teile der Hauptbestände an Ether und NEAR übertragen wurden. Damit unterscheiden sich bereits umgewandelte Vermögenswerte von beträchtlichen Beständen, die noch ruhen. Der Bericht macht keine Angaben dazu, wann oder ob diese unbewegten Guthaben übertragen werden. Die aktuellen XRP-Bewegungen lassen sich daher nicht als Zeitplan für den Rest deuten.

Eine weitverzweigte Spur erstreckt sich über Wallets, Blockchains und Dienste

Elliptic hat seit dem Diebstahl bei Binance mehr als 20.000 Wallets auf 16 Blockchains entlang der Geldwäsche-Spur gezählt. Das Unternehmen identifizierte außerdem Aktivitäten mit mindestens 36 Diensten und mindestens 65.000 Transaktionen. Anders ausgedrückt entsprechen die Zahlen ungefähr einer neuen Wallet alle 30 Sekunden und einer Transaktion alle 10 Sekunden. Das Ausmaß beschreibt eine weit verstreute, mehrere Blockchains umfassende Spur; für sich genommen zeigt es nicht, dass jede Wallet oder jeder Dienst für einen eigenen Beteiligten steht.

Trotz der umfangreichen Bewegungen schätzt Elliptic, dass sich noch etwa 3,11 Milliarden US-Dollar in Adressen befinden, die mit dem Diebstahl in Verbindung stehen – größtenteils in Ether und Bitcoin. Laut dem Unternehmen wurde bislang wahrscheinlich nur ein vernachlässigbarer Betrag ausgezahlt. Dieser Unterschied ist wichtig: Vermögenswerte zwischen Wallets zu verschieben oder einen Token gegen einen anderen zu tauschen, ist nicht dasselbe, wie sie in herkömmliches Geld umzuwandeln. Die gemeldete Spur deutet daher auf umfangreiche Geldwäscheaktivitäten hin, während es nur begrenzte Hinweise auf tatsächlich abgeschlossene Auszahlungen gibt.

Elliptic zufolge spiegeln die Bewegungen auch Unterschiede darin wider, wie Vermögenswerte eingefroren werden können. Herausgeber können viele Stablecoins einfrieren, XRP jedoch nicht auf dieselbe Weise und Bitcoin gar nicht. Nachdem Tether und Circle am 29. Oktober große Stablecoin-Bestände gesperrt hatten, konzentrierte sich der Angreifer dem Bericht zufolge auf Vermögenswerte, die nicht diesem von den Herausgebern kontrollierten Mechanismus unterliegen. Die Umwandlung von XRP in Bitcoin setzt dieses Muster fort, auch wenn die Quelle nicht behauptet, dass Bitcoin dadurch unmöglich nachzuverfolgen oder wiederzuerlangen wäre.

Die nächste Frage ist, ob sich dieser Umwandlungsweg fortsetzt

Die aktuellen XRP-Bewegungen sind Teil einer größeren Abfolge von Umwandlungen. Elliptic zufolge wurden sämtliche gestohlenen SOL – nach den eigenen Kursangaben etwa 87 Millionen US-Dollar wert – getauscht, über Bridges transferiert oder gemischt; ein Großteil davon endete als Bitcoin. Auch die Geldwäsche eines Großteils der etwa 220 Millionen US-Dollar in TRX aus der Anfangsphase ist bereits erfolgt, während sich bislang nur kleine Anteile der Hauptbestände in Ether und NEAR bewegt haben. Diese Zahlen zeigen unterschiedliche Phasen bei den verschiedenen Vermögenswerten und keinen einheitlichen Weg für alle gestohlenen Gelder.

Ein Teil der umgewandelten Gelder ist auch in datenschutzorientierte Dienste geflossen. Elliptic zählte seit dem 1. November etwa 33 BTC im Wert von rund 2,5 Millionen US-Dollar, die in CoinJoins nach dem Vorbild von Wasabi eingingen. Außerdem meldete das Unternehmen, dass vor dem vorläufigen Aussetzen von Einzahlungen bei Privacy Cash Ether und SOL im Wert von etwa 1,1 Millionen US-Dollar in den Pool des Dienstes gelangten. Dabei handelt es sich um begrenzte Anteile an der umfassenderen Spur. Der Bericht belegt weder, dass die Dienste alle umgewandelten Vermögenswerte erhielten, noch dass die Gelder erfolgreich ausgezahlt wurden.

Elliptic deutet die Geschwindigkeit und Regelmäßigkeit der Aktivitäten als herkömmliche Automatisierung und nicht als einen KI-Agenten, der Entscheidungen in Echtzeit trifft. Dafür sprechen laut Elliptic feste Zeitabstände, gleichbleibende Beträge, blinde Wiederholungsversuche und Taktiken, die mit mehreren Stunden Abstand eingesetzt wurden. Wie es weitergeht, ist unklar: Die wichtigste kurzfristige Frage ist, ob weitere der rund 192 Millionen XRP umgetauscht werden und ob geparkte Ether später bewegt werden. Der Bericht lässt außerdem offen, ob THORChain-Betreiber und andere Bridges veröffentlichte Angreiferadressen weiterhin schnell genug sperren können, um den Geldfluss zu unterbrechen.

Quelle: BitcoinMagazine