Взломавший KuCoin хакер начал отмывать биткоины через миксер Wasabi

Злоумышленник, взломавший в сентябре криптовалютную биржу KuCoin, провел часть биткоинов через кошелек Wasabi с возможностью микширования. На это обратил внимание пользователь Ergo из OXT Research.

По его наблюдениям:

• 322 BTC прошли через сервис микширования ChipMixer;
• 288 BTC частично смешались в анонимном кошельке Wasabi и еще 245 BTC, по его мнению, могут пройти через этот путь.

So far the Kucoin hacker mixed:
~322 BTC with Chipmixer
~288 BTC partially mixed via Wasabi
~another 245 BTC pending partial Wasabi mixing?

Post-chipmixer distribution activity starts here. https://t.co/F9VsJvhzCC pic.twitter.com/ZzdmdACruA

— Ergo ∴Politically Charged∴ (@ErgoBTC) November 2, 2020

Wasabi Wallet — это ориентированный на приватность пользователей некастодиальный биткоин-кошелек с открытым исходным кодом. Его главной особенностью является использование технологии Chaumian CoinJoin — не требующего доверия механизма микширования (перемешивания) монет с математически доказуемой анонимностью.

Исследователь обнаружил, что часть похищенных средств, которая не прошла через эту процедуру, была выведена на четыре новых P2SH-адреса. Аналитик OXT Research полагает, что они могут использоваться в последующих действиях хакеров, если находящиеся на них средства не будут смешаны в дальнейшем.

At least 4 unmixed change UTXOs pulled out early and sent to P2SH segwit addresses (new wallet).

If these remain unmixed, they will likely link much of the hackers postmix activities.https://t.co/bBnaKDhWsQhttps://t.co/RNfudDsGaFhttps://t.co/vRLavRtBGchttps://t.co/KLECgFxCdM

— Ergo ∴Politically Charged∴ (@ErgoBTC) November 2, 2020

Аналитики обратили внимание, что перед отправкой средств на Wasabi злоумышленники включили неистраченные выходы транзакций (UTXO) с даркнет-маркетплейса Hydra в схему «peel chains» (буквально «слоистые цепи»).

In addition to ChipMixer usage, Wasabi usage, and similar wallet fingerprinting, a utxo originating from Hydra was combined with the peel chain distributing to Wasabi.

Via >> https://t.co/yXCJPBNJil

— Ergo ∴Politically Charged∴ (@ErgoBTC) November 2, 2020

Похожий алгоритм задействовали два жителя Китая, обвиненные в причастности к взлому криптовалютных бирж и связями с хакерской группировкой Lazarus, работающей в интересах Северной Кореи.

Напомним, в конце сентября KuCoin сообщила о несанкционированном выводе средств с горячих кошельков биткоина, токенов ERC-20 и других. Ущерб составил более $280 млн.

Позднее биржа KuCoin смогла идентифицировать подозреваемых во взломе и заблокировать часть похищенных средств с помощью партнеров.

Для вывода средств хакеры задействовали в том числе биржу Uniswap и миксер Tornado Cash.