- Conversões de ativos roubados elevaram saldo para aproximadamente 1.650 BTC
- Hackers trocaram 42 milhões de XRP, principalmente pela THORChain
- Rastreamento identificou mais de 20 mil carteiras em 16 blockchains
Os responsáveis pelo ataque à Binance acumularam aproximadamente 1.650 bitcoin com a conversão de outros ativos roubados, segundo a Elliptic. O saldo quase dobrou de uma noite para outra, impulsionado principalmente pela troca de XRP.
Cerca de 42 milhões de XRP, avaliados em aproximadamente US$ 50 milhões no levantamento, já passaram por conversões. A maior parte seguiu pela THORChain, protocolo que permite trocar ativos entre redes distintas.
O avanço das trocas ainda não corresponde a uma retirada equivalente em dinheiro. A empresa de análise considera insignificante o montante provavelmente convertido em recursos fora das blockchains até agora.
192 milhões de XRP permanecem em endereços do ataque
O levantamento da empresa de análise Elliptic, atualizado até sexta-feira, aponta aproximadamente 192 milhões de XRP ainda sem conversão. A avaliação desse estoque chegava a US$ 226 milhões pelos preços empregados no relatório.
A origem remonta a 29 de outubro. Entre 20h05 e 20h09 UTC, cinco carteiras conectadas à internet transferiram 233,46 milhões de XRP para um endereço dos invasores.
Inicialmente, os recursos permaneceram parados. Em 2 de novembro, entre 2h12 e 4h UTC, os responsáveis redistribuíram praticamente todo esse volume entre seis novos endereços.
Dois deles retomaram as transferências na tarde de 5 de novembro, enviando XRP a dezenas de contas. Essas contas executaram as trocas, majoritariamente por bitcoin, após três dias sem movimentação nos seis destinos intermediários.
A proporção ajuda a dimensionar o saldo pendente: 42 milhões representam aproximadamente 18% dos 233,46 milhões de XRP inicialmente desviados. O cálculo usa quantidades de tokens, evitando confundir oscilação de preços com avanço das conversões.
Binance relata bloqueio de US$ 2,85 bilhões
A Binance estimou o total subtraído em US$ 6,34 bilhões. A exchange informou ter congelado ou interceptado aproximadamente US$ 2,85 bilhões e afirmou que cobriria as perdas dos clientes com recursos próprios.
Os saques voltaram em etapas. O processo de recuperação de ativos ocorre enquanto os invasores redistribuem os valores e procuram novas rotas de conversão.
Segundo as informações reunidas no relato, o FBI atribuiu a operação ao grupo norte-coreano TraderTraitor. A atribuição identifica os suspeitos, mas não altera o controle das chaves privadas usadas para movimentar os fundos.
Tether e Circle bloquearam parcelas de stablecoins em 29 de outubro. Bitcoin e XRP nativo não oferecem um mecanismo equivalente de congelamento por emissor, embora intermediários possam bloquear depósitos identificados.
Há uma diferença entre trocar tokens e vender o produto do roubo por moeda fiduciária. Na primeira operação, os responsáveis mudam a composição dos ativos; na segunda, precisam encontrar contraparte para a saída financeira.
Rastreamento identifica 65 mil transações em 16 redes
Desde o ataque, a Elliptic identificou mais de 20 mil carteiras, pelo menos 36 serviços e 65 mil transações em 16 blockchains. O ritmo equivale a uma nova carteira a cada 30 segundos.
Aproximadamente US$ 3,11 bilhões permaneciam em endereços associados ao roubo, sobretudo em ether e bitcoin. As maiores posições originais nesses dois ativos continuavam sem movimentação, apesar das conversões de outros tokens.
Todo o estoque roubado de SOL, avaliado em US$ 87 milhões no levantamento, já havia passado por trocas, pontes ou misturadores. A maior parte do fluxo inicial de TRX, estimado em US$ 220 milhões, também avançou.
Desde 1º de novembro, cerca de 33 BTC passaram por operações de coinjoin semelhantes às usadas pelo Wasabi. Essas transações combinam participantes e dificultam estabelecer correspondência direta entre entradas e saídas.
Outros US$ 1,1 milhão em ether e SOL entraram no Privacy Cash antes da suspensão dos depósitos. A Elliptic identificou horários fixos, quantidades padronizadas e novas tentativas automáticas, características que atribuiu à automação convencional, sem evidência de decisões por inteligência artificial.
