Utredare från analysföretagen TRM Labs och Chainalysis kopplar intrånget till den statsunderstödda nordkoreanska hackergruppen TraderTraitor. Målet för förövarna är att snabbt växla kryptotillgångarna till fiatvaluta innan transaktionerna spärras, vilket gör tidsaspekten helt avgörande för räddningsarbetet.
Binance har samtidigt meddelat att användarnas förluster ska täckas fullt ut via handelsplatsens interna försäkringsfond, Secure Asset Fund for Users.
Frysta miljarder i stabila mynt
Efter attacken agerade flera utgivare av så kallade stablecoins snabbt. Både Circle, bolaget bakom USDC, och Tether, som ger ut USDT, spärrade adresser kopplade till stölden. Enligt beräkningar från Binance har kryptovalutor till ett värde av ungefär tre miljarder dollar frysts hittills.
Utgivarna har teknisk möjlighet att makulera de låsta mynten och ge ut nya motsvarigheter. Dessa ersättningstoken kan sedan placeras under rättslig förvaltning innan de återlämnas till Binance.
Förövarnas drag för att undkomma spärrar
Bedragarna förutsåg dock motdragen och agerade snabbt. Enligt TRM Labs sålde de USDT till en likviditetsgarant (s.k. "market maker") och lånade ether mot säkerheten. Ether saknar centrala spärrfunktioner, vilket lämnade långivarna med de frysta tillgångarna.
Joe Hancock på advokatbyrån Mishcon de Reya förklarar att angriparna förstod att flyktvägen via stabila mynt snabbt skulle stängas, varför de valde att ligga steget före.
Automatiserade metoder döljer spåren
För att försvåra spårningen av de resterande tre miljarderna använder hackarna avancerade metoder. Blockkedjor är öppna liggare där forensiker kan följa transaktioner, vilket tvingar angriparna att ständigt byta taktik för att villa bort utredarna.
Chainalysis vd Jonathan Levin uppger att inga mixerverktyg har använts än så länge. I stället cirkulerar medlen fram och tillbaka mellan olika plånböcker i ett helt automatiserat mönster som tidigare inte skådats.
Nya rutter över blockkedjan Tron
I stället för att flytta pengarna rakt framåt skickas de upprepade gånger tillbaka till tidigare använda adresser. Bytet har även till stor del flyttats över till nätverket Tron. Om medlen växlas till bitcoin eller ethereum blir tillgångarna helt omöjliga att frysa.
Levin framhåller att analysföretaget har tekniska system som övervakar dessa transaktioner dygnet runt. Ari Redbord på TRM Labs betonar samtidigt att utredarna blir allt vassare på att identifiera och följa de nya metoderna.
Professionella tvättnätverk i Kina
Utredarna ser också en tydlig ökning i användningen av externa kinesiska penningtvättsnätverk. Dessa professionella organisationer köper de stulna mynten utanför ordinarie handelsplatser mot en saftig avgift, för att sedan tvätta kapitalet utanför blockkedjorna.
När medlen väl når den nivån och förvandlas till kontanter minskar chanserna drastiskt att frysa eller beslagta kapitalet. Kampen handlar därför om att genskjuta transaktionerna innan de lämnar de digitala plånböckerna för gott.