Dua kes kecurian aset kripto yang berlaku dalam tempoh kurang seminggu menunjukkan corak pemindahan dana yang hampir sama. Penyerang terlebih dahulu menukar stablecoin yang boleh dibekukan, kemudian memecahkan dana dan memindahkannya merentasi rangkaian sebelum menggunakan syiling privasi atau saluran luar bursa untuk menyukarkan pengesanan. Bagi pasaran, jumlah stablecoin yang dibekukan serta baki ETH dan BTC yang masih dikuasai penyerang menentukan peluang pemulihan dana dan potensi bekalan yang mungkin dijual kemudian.
Stablecoin dibekukan selepas kecurian hot wallet Binance
Pada 29 Oktober, penyerang memindahkan aset bernilai kira-kira AS$6.36 bilion daripada beberapa hot wallet Binance merentasi pelbagai blockchain. Hot wallet ialah dompet yang disambungkan ke internet dan digunakan bursa untuk urusan seperti pengeluaran. Firma analisis blockchain TRM Labs berkata kebanyakan dana dipindahkan dalam tempoh kira-kira 20 minit. Biro Penyiasatan Persekutuan AS (FBI) mengaitkan serangan itu dengan kumpulan penggodam Korea Utara TraderTraitor. Setakat ini, ia merupakan kecurian aset kripto terbesar yang diketahui.
Penerbit stablecoin boleh membekukan token dalam dompet tertentu, menjadikan USDT dan USDC berisiko dibekukan oleh penyerang. Menurut TRM, kira-kira 971 juta USDT dalam dompet penerima penyerang dibekukan oleh Tether sekitar 37 minit selepas dana utama diterima. Circle kemudian membekukan kira-kira 823 juta USDC. Dengan menggabungkan tindakan Tether, Circle, Ripple, World Liberty Financial dan jawatankuasa keselamatan Arbitrum, TRM menganggarkan kira-kira AS$2.7 bilion telah dibekukan. Binance pula meletakkan jumlah itu pada kira-kira AS$3 bilion.
Untuk mengelakkan pembekuan, penyerang menjual kira-kira 325 juta USDT kepada pembuat pasaran dan menerima sekitar 122,300 ETH. Berdasarkan harga pasaran ketika transaksi, jualan itu dibuat pada diskaun melebihi 10%. Kira-kira 60 juta USDT lagi diletakkan sebagai cagaran dalam protokol pinjaman Aave untuk meminjam sekitar 19,760 ETH. Pertukaran pada diskaun ketara kepada aset yang lebih sukar dibekukan menunjukkan tindakan pantas penyerang menghadapi risiko pembekuan.
BTC dipecahkan dan dana dipindahkan merentasi blockchain
Selepas dana ditukar kepada aset seperti ETH dan BTC yang tidak boleh dibekukan secara langsung oleh penerbit, kesukaran mengesan pergerakannya menjadi tumpuan. TRM berkata 18,270 BTC yang dipindahkan daripada Binance dipecahkan dalam blok yang sama kepada beberapa amaun bulat, termasuk 1,000 BTC dan 100 BTC, lalu membentuk banyak laluan pemindahan yang lebih kecil. Penyiasat turut mengesan dana yang bergerak secara automatik berulang-alik antara beberapa dompet, termasuk alamat yang pernah digunakan sebelum ini. Corak itu boleh menyukarkan proses pengesanan.
Jambatan rentas rantaian membolehkan aset dipindahkan daripada satu blockchain ke blockchain lain, memaksa penyiasat meneruskan pencarian pada rangkaian baharu. Firma pemantauan dalam rantaian Onchain Lens berkata dalam satu lagi kes yang disyaki dan didedahkan pada Isnin, dana daripada dompet yang dikaitkan dengan King, bot arbitraj Solana, melalui beberapa dompet Solana sebelum dipindahkan ke Ethereum menggunakan perkhidmatan rentas rantaian Mayan. Pengendali King belum mengesahkan bahawa sistem mereka diceroboh, maka laluan ini sahaja tidak membuktikan bot atau pihak berkaitan telah digodam.
TRM berkata pemindahan dana pada peringkat awal dalam kes Binance lebih banyak melibatkan pembuat pasaran dan protokol pinjaman. Ini berbeza daripada kecurian AS$1.5 bilion daripada Bybit pada 2025, apabila jambatan rentas rantaian lebih banyak digunakan. TRM menjangkakan jambatan rentas rantaian, perkhidmatan pertukaran dan broker luar bursa mungkin turut terlibat dalam pemindahan dana seterusnya.
Akaun entiti EU disyaki kehilangan lebih AS$106 juta
Penyiasat blockchain ZachXBT berkata pada Isnin bahawa sebuah entiti Kesatuan Eropah (EU) yang identitinya tidak didedahkan mungkin telah menjadi mangsa kecurian pada Ahad. Beberapa akaun bursa dilaporkan kehilangan lebih AS$106 juta secara keseluruhan. Mangsa dan bursa yang terlibat belum dinamakan, maka kes ini masih belum disahkan. Menurut ZachXBT, dana dipindahkan dalam bentuk USDC dan USDT, dengan USDC ditukar kepada ETH. Langkah itu menyerupai sebahagian daripada urutan transaksi awal dalam kes Binance.
ZachXBT turut berkata dana berkenaan melalui perkhidmatan pertukaran segera seperti WellWallet dan Kyrrex, sebelum ditukar kepada Monero melalui perkhidmatan pertukaran bernama Wagyu. Perkhidmatan pertukaran segera membolehkan penukaran token dilakukan dengan pantas. Monero pula menyembunyikan penghantar, penerima dan amaun transaksi secara lalai. Selepas dana ditukar kepada Monero, pengesanan berdasarkan rekod blockchain awam menjadi jauh lebih sukar.
Baki aset curi mempengaruhi potensi bekalan pasaran
TRM berkata penyerang dalam kes Binance masih mengawal lebih 420,000 ETH dan 18,270 BTC, dengan nilai gabungan kira-kira AS$2.4 bilion. Aset ini tidak tertakluk secara langsung kepada mekanisme pembekuan penerbit stablecoin. Jika sejumlah besar ETH atau BTC akhirnya dijual di pasaran, bekalan yang tersedia untuk dijual boleh meningkat. Namun, masa dan saluran jualan belum diketahui. Dana juga mungkin dipindahkan secara berperingkat dalam tempoh beberapa minggu atau bulan, jadi setakat ini tiada asas untuk menyimpulkan bahawa jualan besar-besaran akan berlaku dalam masa terdekat.
Ketua Pegawai Eksekutif bersama Binance, He Yi, berkata bursa itu telah memperuntukkan lebih AS$6.34 bilion daripada dana syarikat untuk menggantikan aset yang dicuri. Pengaturan itu dilaporkan merangkumi pembelian melalui urus niaga luar bursa dan bursa, yang mungkin mewujudkan permintaan di pihak lain pasaran. Skala, masa dan cara pembelian dilaksanakan masih menjadi maklumat penting untuk menilai aliran dana.
Binance berkata pihaknya akan menanggung kerugian itu dan pelanggan tidak dimaklumkan bahawa mereka perlu menanggung kehilangan dana. Namun, kejadian yang melibatkan hot wallet milik bursa itu sendiri mengingatkan pengguna bahawa keselamatan aset yang disimpan di platform perdagangan bergantung pada langkah keselamatan platform tersebut. Pembekuan stablecoin dalam kes ini membantu mengehadkan pergerakan dana curi, tetapi turut memperlihatkan keupayaan penerbit mengawal token dalam dompet tertentu.
Pergerakan dompet dan jumlah pembekuan jadi tumpuan
Perhatian seterusnya tertumpu pada kemungkinan pemindahan besar daripada dompet ETH dan BTC penyerang, khususnya ke bursa atau saluran dagangan luar bursa. TRM sedang menjejaki pemindahan yang dipecahkan dan alamat tempat dana dikumpulkan. Aliran besar mungkin menandakan aset curi semakin hampir kepada proses jualan, tetapi satu transaksi sahaja tidak bermakna penjualan telah selesai.
Binance belum mendedahkan punca penuh sistem tandatangan keselamatannya diceroboh. Penjelasan tentang punca kelemahan itu akan mempengaruhi penilaian sama ada platform lain berdepan risiko serupa. Kes yang disyaki melibatkan entiti EU pula masih menunggu pengesahan daripada mangsa, bursa atau maklumat tepat tentang jumlah kerugian. Sehingga pengesahan diperoleh, angka melebihi AS$106 juta itu kekal sebagai anggaran yang belum disahkan. Sebarang kemas kini tentang jumlah yang dibekukan atau dipulihkan juga boleh mengubah anggaran aset yang masih dikuasai penyerang.