O investigador de blockchain ZachXBT elevou o valor estimado de um suposto roubo de criptomoedas envolvendo uma entidade europeia não identificada para mais de US$ 133 milhões após rastrear outros US$ 27 milhões em saques de exchanges centralizadas.
Resumo
- ZachXBT elevou o valor estimado de um suposto roubo de criptomoedas europeu de US$ 106 milhões para mais de US$ 133 milhões após identificar outros US$ 27 milhões em saques de exchanges centralizadas.
- O investigador de blockchain suspeita que uma grande instituição financeira da Europa Ocidental foi comprometida e acusou a organização afetada de ocultar o incidente.
- ZachXBT afirmou que mais de US$ 30 milhões já haviam sido lavados e poderiam potencialmente ter sido congelados pelas autoridades de aplicação da lei da União Europeia.
- O suposto atacante teria movimentado fundos por meio de Ethereum, exchanges instantâneas de criptomoedas e Monero, enquanto ZachXBT expressou confiança de que o Lazarus Group da Coreia do Norte não foi o responsável.
Em uma atualização de 3 de novembro, ZachXBT disse que as transações adicionais estavam conectadas ao mesmo ator ilícito identificado em sua investigação anterior, com alguns saques ocorrendo após ele ter divulgado o incidente publicamente pela primeira vez.
O investigador agora suspeita que uma grande instituição financeira na Europa Ocidental pode ter sido comprometida e acusou a organização afetada de ocultar o incidente.
ZachXBT questiona a falta de divulgação após suposto roubo
A investigação começou com um alerta à comunidade de 2 de novembro, quando ZachXBT relatou que uma entidade europeia não identificada era suspeita de ter perdido mais de US$ 106 milhões de várias contas de exchanges centralizadas em 1º de novembro.
Na época, ele identificou vários endereços de carteira associados aos saques e publicou um mapa de transações mostrando como os supostos ativos roubados haviam se movimentado entre carteiras, exchanges e outros serviços de criptomoedas.
A atualização mais recente adicionou mais quatro endereços à investigação, elevando o número de endereços de roubo identificados publicamente em ambas as divulgações para 15.
O investigador foi particularmente crítico da ausência de uma divulgação do incidente, afirmando que mais de US$ 30 milhões já haviam sido lavados e poderiam potencialmente ter sido congelados pelas autoridades de aplicação da lei da União Europeia.
Como foram movimentados os supostos US$ 133 milhões em fundos roubados?
De acordo com as descobertas originais de ZachXBT, o atacante inicialmente sacou os supostos ativos roubados em duas stablecoins atreladas ao dólar, USD Coin (USDC) e Tether (USDT), antes de iniciar uma série de transações destinadas a movimentar os fundos por diferentes serviços.
Nas 24 horas seguintes, as carteiras foram usadas para trocar USDC por Ethereum (ETH), com porções dos ativos subsequentemente transferidas para exchanges instantâneas de criptomoedas, incluindo WellWallet e Kyrrex.
O investigador identificou outra rota envolvendo Wagyu, onde os fundos foram convertidos na criptomoeda focada em privacidade Monero (XMR).
Outras transações envolveram a transferência de ativos entre redes blockchain, permitindo que o suposto atacante movimentasse fundos por várias chains em vez de mantê-los em uma única rede.
ZachXBT disse estar altamente confiante de que o atacante não era o Lazarus Group da Coreia do Norte, citando vários indicadores das transações de lavagem que diferiam dos padrões que ele associava à organização de hackers.
Em uma postagem subsequente no X, ZachXBT disse que o suposto atacante era falante de francês e tinha algumas conexões on-chain com usuários de fóruns de cibercrime.
Investigações anteriores rastrearam fundos roubados por meio de Monero
O uso de Monero e exchanges instantâneas se assemelha a rotas de transação documentadas em outras investigações de roubo de criptomoedas, onde atacantes trocaram ativos roubados antes de movê-los para novas carteiras.
Em junho, o crypto.news relatou anteriormente que a Tether congelou US$ 72 milhões em USDT depois que ZachXBT rastreou aproximadamente US$ 120,2 milhões por meio de serviços de criptomoedas e transações ligadas a compras de Monero.
A investigação identificou movimentações através de Tron, KuCoin, exchanges instantâneas e carteiras NEAR Intents antes de a Tether colocar na lista negra um endereço que detinha aproximadamente 72,03 milhões de USDT.
Mais recentemente, uma investigação de 20 de outubro ligou os influxos do FreedomXMR na Hyperliquid Core a suspeitas de atividade ilícita.
ZachXBT estimou que mais de 87% dos fundos recebidos pelo serviço estavam associados a fontes ilícitas, rastreando mais de 20 milhões de dólares em pagamentos de ransomware, exploits de criptomoedas, malware e ataques de engenharia social.
As transações identificadas incluíam fundos associados a incidentes de segurança envolvendo a DCENT Wallet, Fetch.ai, Axelar e a plataforma de apostas online Gamdom.
Separadamente, uma investigação de outubro sobre a rede de lavagem de dinheiro da Bybit descreveu como ZachXBT se infiltrou numa alegada operação criminosa chinesa que, segundo ele, teria processado mais de 1 bilhão de dólares ligados a hackers norte-coreanos.
Durante essa investigação, ele afirmou ter gasto 349.700 dólares fingindo ser um cliente para obter informações de transações e rastrear fundos associados ao hack da Bybit de fevereiro de 2025.
O investigador partilhou subsequentemente provas com investigadores do setor privado e autoridades policiais, enquanto a Tether congelou 442.000 USDT ligados a carteiras identificadas durante a operação.
