Der Blockchain-Ermittler ZachXBT hat den geschätzten Wert eines mutmaßlichen Kryptodiebstahls, an dem eine nicht identifizierte europäische Einheit beteiligt sein soll, nach der Nachverfolgung weiterer 27 Millionen US-Dollar an Abhebungen von zentralisierten Börsen auf mehr als 133 Millionen US-Dollar erhöht.
Zusammenfassung
- ZachXBT erhöhte den geschätzten Wert eines mutmaßlichen europäischen Kryptodiebstahls von 106 Millionen US-Dollar auf über 133 Millionen US-Dollar, nachdem er weitere 27 Millionen US-Dollar an Abhebungen von zentralisierten Börsen identifiziert hatte.
- Der Blockchain-Ermittler vermutet, dass ein großes westeuropäisches Finanzinstitut kompromittiert wurde, und beschuldigte die betroffene Organisation, den Vorfall zu verschleiern.
- ZachXBT behauptete, dass bereits mehr als 30 Millionen US-Dollar gewaschen worden seien und möglicherweise von Strafverfolgungsbehörden der Europäischen Union hätten eingefroren werden können.
- Der mutmaßliche Angreifer soll Gelder über Ethereum, Instant-Kryptowährungsbörsen und Monero bewegt haben, während ZachXBT sein Vertrauen ausdrückte, dass die Lazarus-Gruppe Nordkoreas nicht verantwortlich war.
In einem Update vom 3. November erklärte ZachXBT, die zusätzlichen Transaktionen stünden mit demselben illegalen Akteur in Verbindung, der in seiner früheren Untersuchung identifiziert worden war, wobei einige Abhebungen erst erfolgten, nachdem er den Vorfall erstmals öffentlich bekannt gegeben hatte.
Der Ermittler vermutet nun, dass ein großes Finanzinstitut in Westeuropa kompromittiert worden sein könnte, und beschuldigte die betroffene Organisation, den Vorfall zu verschleiern.
ZachXBT hinterfragt die fehlende Offenlegung nach mutmaßlichem Diebstahl
Die Untersuchung begann mit einer Community-Warnung vom 2. November, als ZachXBT berichtete, dass eine nicht identifizierte europäische Einheit verdächtigt werde, am 1. November mehr als 106 Millionen US-Dollar von mehreren Konten zentralisierter Börsen verloren zu haben.
Zu diesem Zeitpunkt identifizierte er mehrere Wallet-Adressen, die mit den Abhebungen in Verbindung standen, und veröffentlichte eine Transaktionskarte, die zeigte, wie die mutmaßlich gestohlenen Vermögenswerte zwischen Wallets, Börsen und anderen Kryptowährungsdiensten bewegt worden waren.
Das jüngste Update fügte der Untersuchung vier weitere Adressen hinzu, wodurch die Zahl der öffentlich identifizierten Diebstahlsadressen aus beiden Offenlegungen auf 15 stieg.
Der Ermittler kritisierte insbesondere das Fehlen einer Offenlegung des Vorfalls und behauptete, dass bereits mehr als 30 Millionen US-Dollar gewaschen worden seien und möglicherweise von Strafverfolgungsbehörden der Europäischen Union hätten eingefroren werden können.
Wie wurden die mutmaßlich gestohlenen 133 Millionen US-Dollar bewegt?
Laut ZachXBTs ursprünglichen Erkenntnissen hob der Angreifer die mutmaßlich gestohlenen Vermögenswerte zunächst in zwei dollar-gebundenen Stablecoins, USD Coin (USDC) und Tether (USDT), ab, bevor er eine Reihe von Transaktionen begann, die darauf abzielten, die Gelder über verschiedene Dienste zu bewegen.
In den folgenden 24 Stunden wurden die Wallets genutzt, um USDC gegen Ethereum (ETH) zu tauschen, wobei Teile der Vermögenswerte anschließend an Instant-Kryptowährungsbörsen, darunter WellWallet und Kyrrex, übertragen wurden.
Der Ermittler identifizierte eine weitere Route über Wagyu, bei der Gelder in die auf Privatsphäre ausgerichtete Kryptowährung Monero (XMR) umgewandelt wurden.
Andere Transaktionen umfassten das Bridging von Vermögenswerten zwischen Blockchain-Netzwerken, wodurch der mutmaßliche Angreifer Gelder über mehrere Chains bewegen konnte, anstatt sie auf einem einzigen Netzwerk zu belassen.
ZachXBT erklärte, er sei sehr zuversichtlich, dass der Angreifer nicht die Lazarus-Gruppe Nordkoreas sei, und verwies auf mehrere Indikatoren aus den Waschtransaktionen, die von Mustern abwichen, die er mit der Hackergruppe in Verbindung brachte.
In einem späteren Beitrag auf X erklärte ZachXBT, der mutmaßliche Angreifer sei französischsprachig und habe einige On-Chain-Verbindungen zu Nutzern von Cyberkriminalitätsforen.
Frühere Untersuchungen haben gestohlene Gelder über Monero nachverfolgt
Die Nutzung von Monero und Instant-Börsen ähnelt Transaktionsrouten, die in anderen Untersuchungen zu Kryptodiebstählen dokumentiert wurden, bei denen Angreifer gestohlene Vermögenswerte tauschten, bevor sie sie auf neue Wallets transferierten.
Im Juni berichtete crypto.news zuvor, dass Tether 72 Millionen US-Dollar in USDT eingefroren habe, nachdem ZachXBT etwa 120,2 Millionen US-Dollar über Kryptowährungsdienste und Transaktionen im Zusammenhang mit Monero-Käufen nachverfolgt hatte.
Die Untersuchung identifizierte Bewegungen über Tron, KuCoin, Instant-Exchanges und NEAR Intents-Wallets, bevor Tether eine Adresse mit etwa 72,03 Millionen USDT auf die schwarze Liste setzte.
In jüngerer Zeit verknüpfte eine Untersuchung vom 20. Oktober Zuflüsse von FreedomXMR auf Hyperliquid Core mit mutmaßlich illegalen Aktivitäten.
ZachXBT schätzte, dass mehr als 87 % der eingehenden Gelder des Dienstes mit illegalen Quellen in Verbindung standen, wobei über 20 Millionen US-Dollar auf Lösegeldzahlungen, Kryptowährungs-Exploits, Malware und Social-Engineering-Angriffe zurückgeführt wurden.
Zu den identifizierten Transaktionen gehörten Gelder, die mit Sicherheitsvorfällen im Zusammenhang mit DCENT Wallet, Fetch.ai, Axelar und der Online-Glücksspielplattform Gamdom in Verbindung standen.
Unabhängig davon beschrieb eine Untersuchung vom Oktober zu dem Bybit-Geldwäschenetzwerk, wie ZachXBT in eine mutmaßliche chinesische kriminelle Operation eindrang, von der er behauptete, sie habe mehr als 1 Milliarde US-Dollar im Zusammenhang mit nordkoreanischen Hackern verarbeitet.
Während dieser Untersuchung gab er an, 349.700 US-Dollar ausgegeben zu haben, um sich als Kunde auszugeben, um Transaktionsinformationen zu erhalten und Gelder im Zusammenhang mit dem Bybit-Hack vom Februar 2025 zurückzuverfolgen.
Der Ermittler teilte anschließend Beweise mit Forschern aus dem Privatsektor und Strafverfolgungsbeamten, während Tether 442.000 USDT einfror, die mit während der Operation identifizierten Wallets in Verbindung standen.
