Elliptic: Cerca de US$ 50 milhões em XRP roubados foram convertidos, principalmente em bitcoin

Conversões de XRP aumentam o montante de bitcoin roubado

Hackers ligados ao roubo à Binance converteram cerca de 42 milhões de XRP, avaliados em aproximadamente US$ 50 milhões, principalmente em bitcoin por meio da THORChain, segundo a empresa de análise de blockchain Elliptic. A atualização da empresa, que abrange a atividade até sexta-feira, afirma que as trocas foram responsáveis pela maior parte do aumento registrado durante a noite na quantidade de bitcoin proveniente dos ativos roubados. Esse saldo de bitcoin convertido chegou a cerca de 1.650 BTC, avaliados em aproximadamente US$ 124 milhões.

A conversão de XRP representa apenas uma parte do total roubado. A Elliptic identificou cerca de 192 milhões de XRP, avaliados em aproximadamente US$ 226 milhões, ainda sem conversão em endereços vinculados ao roubo. Os XRP estavam entre os ativos retirados durante o incidente de 29 de outubro, que a Binance posteriormente avaliou em US$ 6,34 bilhões. A diferença entre os valores convertidos e os que permanecem indica que a movimentação de XRP continua, mas não permite determinar quanto ainda será movimentado.

As transferências de XRP ligadas ao roubo começaram em um curto intervalo em 29 de outubro. Entre 20h05 e 20h09 UTC, cinco carteiras quentes da Binance enviaram 233,46 milhões de XRP para um endereço do invasor, segundo o relato no relatório. O FBI atribuiu a campanha mais ampla ao grupo TraderTraitor, da Coreia do Norte. A Binance retomou os saques gradualmente e informou ter congelado ou interceptado cerca de US$ 2,85 bilhões, além de cobrir as perdas dos clientes com recursos próprios.

O XRP roubado foi movimentado em etapas, após vários dias de inatividade

O XRP roubado não foi enviado imediatamente a serviços de conversão. Segundo a Elliptic, no início de 2 de novembro, entre 02h12 e 04h00 UTC, cerca de 233 milhões de XRP foram transferidos para seis endereços recém-criados. Os fundos permaneceram ali até 5 de novembro. Essa pausa separou a transferência inicial das trocas posteriores e mostra por que a cronologia do roubo é importante: a movimentação do XRP se desenrolou ao longo de vários dias, em vez de ocorrer como uma única transação contínua.

A partir da tarde de 5 de novembro, dois dos seis endereços começaram a distribuir XRP para dezenas de novas contas. Em seguida, essas contas trocaram os tokens, principalmente por bitcoin via THORChain. A Elliptic também registrou uma pequena quantidade de ether encaminhada por meio da THORChain para bitcoin naquela noite. Esse padrão situa as trocas de XRP em um esforço mais amplo para movimentar ativos roubados entre serviços e convertê-los em diferentes formas, em vez de simplesmente transferir os tokens originais entre carteiras.

Nem todos os principais fundos seguiram esse caminho. Segundo a Elliptic, os maiores montantes de bitcoin e ether associados ao roubo não foram movimentados, enquanto apenas pequenas parcelas dos principais fundos de ether e NEAR foram transferidas. Isso diferencia os ativos já convertidos dos montantes substanciais que continuam parados. O relatório não informa quando, ou se, esses saldos não movimentados serão transferidos; portanto, a atividade atual do XRP não deve ser considerada um cronograma para o restante.

Um rastro extenso se espalha por carteiras, redes e serviços

A Elliptic contabilizou mais de 20.000 carteiras em 16 blockchains no rastro de lavagem desde o roubo da Binance. A empresa também identificou atividades envolvendo pelo menos 36 serviços e pelo menos 65.000 transações. Em outras palavras, os números correspondem a aproximadamente uma nova carteira a cada 30 segundos e uma transação a cada 10 segundos. A escala descreve um rastro disperso e multichain; por si só, não demonstra que cada carteira ou serviço represente um participante distinto.

Apesar da movimentação intensa, a Elliptic estima que cerca de US$ 3,11 bilhões ainda permanecem em endereços ligados ao roubo, principalmente em ether e bitcoin. Segundo a empresa, até agora, provavelmente apenas uma quantia insignificante foi convertida em dinheiro. Essa distinção é importante: transferir ativos entre carteiras ou trocar um token por outro não é o mesmo que convertê-los em dinheiro convencional. Portanto, o rastro relatado revela uma atividade significativa de lavagem, mas poucas evidências de saques efetivamente concluídos.

Segundo a Elliptic, a movimentação também reflete diferenças na forma como os ativos podem ser congelados. Os emissores podem congelar muitas stablecoins, mas não podem congelar XRP da mesma maneira, nem congelar bitcoin. Após a Tether e a Circle bloquearem grandes quantidades de stablecoins em 29 de outubro, o invasor priorizou ativos que não estão sujeitos a esse mecanismo controlado pelos emissores, de acordo com o relatório. Converter XRP em bitcoin segue esse padrão, embora a fonte não afirme que o bitcoin se torne impossível de rastrear ou recuperar.

A próxima questão é se a rota de conversão continuará

A atividade atual com XRP faz parte de uma sequência mais ampla de conversões. A Elliptic afirma que todo o SOL roubado — cerca de US$ 87 milhões, segundo suas cotações — foi trocado, transferido por pontes ou misturado, e que grande parte acabou em bitcoin. A maior parte da lavagem inicial dos cerca de US$ 220 milhões em TRX também já ocorreu, enquanto apenas pequenas parcelas dos principais fundos em ether e NEAR foram movimentadas. Esses números mostram diferentes estágios entre os grupos de ativos, e não uma única rota uniforme para todos os fundos roubados.

Parte dos fundos convertidos também chegou a serviços voltados à privacidade. A Elliptic contabilizou cerca de 33 BTC, avaliados em aproximadamente US$ 2,5 milhões, enviados para coinjoins no estilo Wasabi desde 1º de novembro. A empresa também relatou que cerca de US$ 1,1 milhão em ether e SOL entrou no pool do Privacy Cash antes de esse serviço suspender os depósitos. Essas quantias representam apenas uma parcela limitada do rastro mais amplo, e o relatório não comprova que os serviços tenham recebido todos os ativos convertidos nem que os fundos tenham sido sacados com sucesso.

A Elliptic interpreta a velocidade e a regularidade da atividade como automação convencional, e não como um agente de IA tomando decisões em tempo real, citando horários fixos, valores definidos, novas tentativas às cegas e táticas introduzidas com horas de intervalo. O que acontece a seguir ainda não está claro: a principal questão no curto prazo é se uma parcela maior dos cerca de 192 milhões de XRP será convertida e se o ether que está parado será movimentado mais tarde. O relatório também deixa em aberto se os operadores da THORChain e de outras pontes conseguirão continuar bloqueando rapidamente os endereços divulgados dos invasores para interromper a rota.

Fonte: BitcoinMagazine