慢雾:美国执法部门破获2016年Bitfinex被盗案件始末分析_VCE:IZIChain

当地时间周二美国司法部发布公告称,它已经查获了价值36亿美元的比特币,这些比特币与2016年加密

货币

交易所

Bitfinex的黑客事件有关。34岁的IlyaLichtenstein和其31岁的妻子HeatherMorgan在纽约被捕,两人被指控共谋和罪。

美国司法部公告称,这是司法部有史以来最大规模的

金融

扣押,此次调查由IRS-CI华盛顿特区办事处的网络犯罪部门、联邦调查局的芝加哥办事处和国土

安全

调查局纽约办事处领导,德国安斯巴赫警察局在此次调查期间提供了协助。

事件背景

根据慢雾AML掌握的情报数据分析显示,Bitfinex在2016年8月遭受网络攻击,

慢雾:CoinsPaid、Atomic与Alphapo攻击者或均为朝鲜黑客组织Lazarus:7月26日消息,慢雾发推称,CoinsPaid、Atomic与Alphapo攻击者或均为朝鲜黑客组织Lazarus Group。慢雾表示,TGGMvM开头地址收到了与Alphapo事件有关TJF7md开头地址转入的近1.2亿枚TRX,而TGGMvM开头地址在7月22日时还收到了通过TNMW5i开头和TJ6k7a开头地址转入的来自Coinspaid热钱包的资金。而TNMW5i开头地址则曾收到了来自Atomic攻击者使用地址的资金。[2023/7/26 16:00:16]

有2072笔比特币交易在Bitfinex未授权的情况下转出,然后资金分散存储在2072个

钱包

地址中,统计显示Bitfinex共计损失119,754.8121BTC

慢雾:Poly Network再次遭遇黑客攻击,黑客已获利价值超439万美元的主流资产:金色财经报道,据慢雾区情报,Poly Network再次遭遇黑客攻击。分析发现,主要黑客获利地址为0xe0af…a599。根据MistTrack团队追踪溯源分析,ETH链第一笔手续费为Tornado Cash: 1 ETH,BSC链手续费来源为Kucoin和ChangeNOW,Polygon链手续费来源为FixedFloat。黑客的使用平台痕迹有Kucoin、FixedFloat、ChangeNOW、Tornado Cash、Uniswap、PancakeSwap、OpenOcean、Wing等。

截止目前,部分被盗Token (sUSD、RFuel、COOK等)被黑客通过Uniswap和PancakeSwap兑换成价值122万美元的主流资产,剩余被盗资金被分散到多条链60多个地址中,暂未进一步转移,全部黑客地址已被录入慢雾AML恶意地址库。[2023/7/2 22:13:22]

慢雾:Transit Swap事件中转移到Tornado Cash的资金超过600万美元:金色财经报道,慢雾 MistTrack 对 Transit Swap 事件资金转移进行跟进分析,以下将分析结论同步社区:

Hacker#1 攻击黑客(盗取最大资金黑客),获利金额:约 2410 万美元

1: 0x75F2...FFD46

2: 0xfa71...90fb

已归还超 1890 万美元的被盗资金;12,500 BNB 存款到 Tornado Cash;约 1400 万 MOONEY 代币和 67,709 DAI 代币转入 ShibaSwap: BONE Token 合约地址。

Hacker#2 套利机器人-1,获利金额:1,166,882.07 BUSD

0xcfb0...7ac7(BSC)

保留在获利地址中,未进一步转移。

Hacker#3 攻击模仿者-1,获利金额:356,690.71 USDT

0x87be...3c4c(BSC)

Hacker#4 套利机器人-2,获利金额:246,757.31 USDT

0x0000...4922(BSC)

已全部追回。

Hacker#5 套利机器人-3,获利金额:584,801.17 USDC

0xcc3d...ae7d(BSC)

USDC 全部转移至新地址 0x8960...8525,后无进一步转移。

Hacker#6 攻击模仿者-2,获利金额:2,348,967.9 USDT

0x6e60...c5ea(BSC)

Hacker#7 套利机器人-4,获利金额:5,974.52 UNI、1,667.36 MANA

0x6C6B...364e(ETH)

通过 Uniswap 兑换为 30.17 ETH,其中 0.71 支付给 Flashbots,剩余 ETH 未进一步转移。[2022/10/6 18:41:10]

事发当时价值约6000万美元,按今天的价格计算,被盗总额约为45亿美元。

慢雾:BXH于BSC链被盗的ETH、BTC类资产已全部跨链转至相应链:11月3日消息,10月30日攻击BXH的黑客(BSC: 0x48c94305bddfd80c6f4076963866d968cac27d79)在洗币过程中,多次使用了 AnySwap、PancakeSwap、Ellipsis 等兑换平台,其中部分 ETH 代币被兑换成 BTC。此外,黑客现已将 13304.6 ETH、642.88 BTCB 代币从 BSC 链转移到 ETH、BTC 链,目前,初始黑客获利地址仍有 15546 BNB 和价值超 3376 万美元的代币。慢雾 AML 将持续监控被盗资金的转移,拉黑攻击者控制的所有钱包地址,提醒交易所、钱包注意加强地址监控,避免相关恶意资金流入平台。[2021/11/3 6:28:49]

慢雾AML曾于2月1日监测到

Bitfinex

慢雾:Badger DAO黑客已通过renBTC将约1125 BTC跨链转移到10 个BTC地址:12月2日消息,Badger DAO遭遇黑客攻击,用户资产在未经授权的情况下被转移。据慢雾MistTrack分析,截止目前黑客已将获利的加密货币换成 renBTC,并通过renBTC 将约 1125 BTC 跨链转移到 10 个 BTC 地址。慢雾 MistTrack 将持续监控被盗资金的转移。[2021/12/2 12:46:11]

被盗资金出现大额异动,后被证实该异动资金正是被司法部扣押了的94,643.2984BTC,约占被盗总额的79%,目前这些资金保管在美国政府的钱包地址

bc1qazcm763858nkj2dj986etajv6wquslv8uxwczt中。

!webp\"data-img-size-val=\"898,450\"\u002F\\>

事件梳理

慢雾AML根据美国司法部公布的statement_of_facts.pdf文件进行梳理,将此案的关键要点和细节分享如下:

1、

美国执法部门通过控制Lichtenstein的云盘账号,获取到了一份写着2000多个钱包地址和对应私钥的文件

该文件中的地址应该就是上文提到的2072个盗币黑客钱包地址,然后美国司法部才有能力扣押并将比特币集中转移到

bc1qazcm763858nkj2dj986etajv6wquslv8uxwczt中。

!webp\"data-img-size-val=\"940,549\"\u002F\\>

2、从2017年1月开始,被盗资金才开始转移,其通过剥离链技术,将被盗资金不断拆分、打散,然后进入了7个独立的AlphaBay

平台账号进行混币,使BT

C无法被轻易追踪。从结果看,使用AlphaBay进行混币的比特币约为25000BTC。

3、混币后,大部分资金被转入到8个在交易所-1注册的账号,这些账号的邮箱都是用的同一家印度的邮箱服务提供商。除此之外,这8个账号使用过相同的登录IP,并且都是在2016年8月左右注册的。

更为致命的是,在Lichtenstein的云盘里有一份Excel表格,记录着这8个账号的各种信息

而且其中6个账号还被他标记为FROZEN。美国司法部统计发现,交易所-1里的8个账号共冻结着价值18.6万美元的资产。

4、混币后还有部分资金被转入到交易所-2和一家美国的交易所,在这两家交易所上注册的账号,有些也是使用的上文提到的那一家印度的邮箱服务提供商。这些信息也是在上文提到的Lichtenstein的云盘中的Excel表格里发现的。通过VCE2和VCE4,Lichtenstein夫妇成功把Bitfinex被盗的BTC换成了法币,收入囊中。不过,他们在VCE4上有2个用俄罗斯邮箱注册的账号,因为频繁充值

XMR

而且无法说明资金来源,导致账号被平台封禁。美国司法部统计发现,上面冻结了价值约15.5万美元的资产。

!webp\"data-img-size-val=\"1140,1098\"\u002F\\>

5、在账号被冻结前,从交易所-1提币的资金,大部分到了另一家美国的交易所。

在Bitfinex被盗前的2015年1月13日,Lichtenstein在VCE5交易所上用自己真实的身份和私人邮箱注册了账号并进行了KYC认证

在VCE5交易所上,Lichtenstein用BTC与平台上的商户购买了黄金,并快递到了自己真实的家庭住址。

!webp\"data-img-size-val=\"1105,676\"\u002F\\>

6、除了前面提到的VCE1、VCE2、VCE4、VCE5这几家交易所被他们用来,Lichtenstein夫妇还注册了VCE7、VCE8、VCE9、VCE10等交易所用来。资金主要都是通过从VCE1提币来的,不过在VCE7-10这些交易所上注册的账号,都是用Lichtenstein夫妇的真实身份和他的公司来做KYC认证的。美国司法部统计发现,从2017年3月到2021年10月,Lichtenstein夫妇在VCE7上的3个账号共计收到了约290万美元等值的比特币资金。在这些交易所上,Lichtenstein进一步通过买卖altcoins、

NFT

等方式来,并通过比特币ATM机器进行变现。

链路

!webp\"data-img-size-val=\"1280,468\"\u002F\\>

事件疑点

从2016年8月Bitfinex被盗,到现在过去了约6年的时间,在这期间美国执法部门是如何进行的深入调查,我们不得而知。通过公布的statement_of_facts.pdf文件内容我们可以发现,Lichtenstein的云盘中存储着大量的账号和细节,相当于一本完美的“账本”,给执法部门认定犯罪事实提供了有力的支撑。

但是回过头全局来看,执法部门是怎么锁定Lichtenstein是嫌疑人的呢?

还有个细节是,美国司法部并没有控诉Lichtenstein夫妇涉嫌非法攻击Bitfinex并盗取资金。

最后一个疑问是,从2016年8月Bitfinex被盗,到2017年1月被盗资金开始转移,这其中的5个月时间发生了什么?真正攻击Bitfinex的盗币黑客又是谁?

参考资料:

https:\u002F\u002Fwww.justice.gov\u002Fopa\u002Fpress-release\u002Ffile\u002F1470186\u002Fdownload

22-mj-22-StatementofFacts.pdf

郑重声明: 本文版权归原作者所有, 转载文章仅为传播更多信息之目的, 如作者信息标记有误, 请第一时间联系我们修改或删除, 多谢。

金智博客

[0:0ms0-4:470ms