Минулого тижня невідомі вкрали з гаманців Binance 18 270 BTC, і відтоді на ці 19 адрес не надходить жодних серйозних сум — лише мікроплатежі в кілька центів. Про це пише CoinDesk. Втім, кожен такий переказ супроводжує текстове повідомлення: хтось просить поділитися грошима, хтось радить, як їх відмити, а хтось рекламує власний токен.

За оцінкою аналітичної компанії TRM Labs, зловмисник, якого пов'язують із урядом КНДР, вивів із гаманців Binance на десяти різних блокчейнах активи на суму приблизно $6,36 млрд. Більшу частину цієї суми хакер перемістив буквально за 20 хвилин. У розрізі мереж викрадене розподілилося так: близько $3,79 млрд в Ethereum, приблизно $1,47 млрд у біткоїні (ті самі 18 270 BTC), а решта припадає на вісім інших блокчейнів.

«Help me bro»: хто звертається до хакера

Найпоширеніше звернення складається всього з трьох слів — «Help me bro» («Допоможи, брате»). Анонімний автор надсилав цю фразу тричі з п'ятниці на кожен із 19 гаманців. Самі біткоїни залишаються нерухомими ще з минулого четверга, проте адреси й далі отримують крихітні перекази з короткими приписками.

Хронологія виглядає так: у п'ятницю о 11:43 за UTC відправник надіслав по 1000 сатоші (приблизно 78 центів) на кожен гаманець, о 16:03 повторив це ще раз, а в неділю вранці додав по 1111 сатоші. Перші два перекази вийшли з однієї й тієї самої адреси — решта коштів від першої транзакції пішла на оплату другої. Загалом на цю активність витрачено близько $46 у біткоїнах плюс комісії мережі. Хакер на жодне з повідомлень не відповів.

Як текст потрапляє в блокчейн: OP_RETURN

Біткоїн дозволяє долучити до транзакції коротку текстову мітку через особливий тип виходу OP_RETURN. Він назавжди фіксує в блокчейні до 80 байтів інформації. Саме через цей механізм усі ці послання й з'являються на адресах хакера.

Не лише прохання: поради тримати гроші та реклама токена

Прохання про допомогу — не єдиний тип повідомлень. У частині з них відправники ділилися власними порадами чи переслідували особисті цілі.

  • Поради щодо обміну: двічі в п'ятницю на адреси хакера надійшов текст «Use swap.thorchain.ai and swap your funds, never return it to CZ» («Скористайся swap.thorchain.ai, обміняй кошти й ніколи не повертай їх CZ»). Одне з таких повідомлень потрапило на адресу з 437 BTC.
  • Довша версія тієї самої поради додатково закликала не погоджуватися на угоду з «білими» хакерами. Її отримала адреса, яка в певний момент утримувала всі 18 270 BTC.
  • Сумнівний сайт: за даними CoinDesk, вказане посилання веде на сторінку, стилізовану під офіційний сайт обмінника THORChain. Саме посилання видання навмисно не публікує.
  • Реклама: турецький крипто-інфлюенсер скористався нагодою, щоб прорекламувати власний токен, і попросив спрямувати пожертви на розвиток екосистеми $NST.
  • Жарт: у ніч на суботу хтось написав «Happy Hacklloween Satoshis for treats PLS».

Згадана в повідомленнях THORChain — це міжмережевий протокол обміну, яким зловмисник уже користувався раніше для переміщення вкрадених коштів. На вихідних сервіс зупинив торги на 10 із 13 підтримуваних блокчейнів.

Попри те, що жодне з повідомлень не отримало відповіді, запаси біткоїнів у розпорядженні хакера продовжують зростати. У неділю зловмисник почав конвертувати 970 522 викрадених SOL — приблизно $96 млн — у біткоїни через міст Relay.