Uma carteira nova a cada 25 segundos e 44% do roubo travado antes da fuga

O dinheiro que saiu da Binance na quinta-feira passada se espalhou por cerca de 12 mil carteiras, 11 redes e mais de 40 mil transações, tudo em pouco menos de quatro dias. Na média do levantamento que a Elliptic publicou nesta segunda-feira, dá quase uma carteira nova a cada 25 segundos.

A saída começou na quinta-feira do ataque, entre 20h05 e 23h56 no horário de Greenwich. O caminho principal foi a Tron, e o ponto de partida foi uma única carteira de distribuição. Às 02h19 de sexta, ela passou a mandar os 684,6 milhões de TRX em valores pequenos para centenas de endereços novos. O dinheiro se espalhou por cerca de 7,7 mil endereços na rede, e pelo menos US$ 147 milhões atravessaram pontes para outras redes.

Do outro lado do relógio, a resposta foi mais rápida do que a fuga em pelo menos um ponto. A Tether bloqueou o USDT roubado na Ethereum 37 minutos depois de o dinheiro chegar à carteira do invasor. Já a Circle congelou US$ 823 milhões em USDC antes de qualquer troca acontecer. O resultado, na conta da Elliptic, é que US$ 2,85 bilhões já estão congelados ou apreendidos, o equivalente a 44% do que foi levado.

A referência para medir o que mudou é o assalto à Bybit, em fevereiro do ano passado. Naquele caso, de US$ 1,5 bilhão, a fatia travada ficou perto de 3%. A diferença desta vez veio da composição do roubo. Já a stablecoin respondia por US$ 3,46 bilhões, 54% do total, e stablecoin tem emissor. Emissor bloqueia saldo quando decide, e desta vez decidiu em minutos.

Nem tudo ficou preso. Antes de os bloqueios chegarem, o invasor trocou 434 milhões de USDT por ether em corretoras descentralizadas como a Uniswap e converteu 234 milhões de USDT para TRX na SunSwap. No total, cerca de US$ 786 milhões em stablecoin escaparam pela porta antes de ela fechar.

O que veio depois foi uma troca de rota. No sábado, de madrugada, parte do TRX foi convertida em USDD, uma stablecoin que se apresenta como livre de congelamento. Um endereço colocou 128 milhões de TRX em um cofre de empréstimo da JustLend, depositando de uma conta e sacando em 16 endereços novos, sem transferência direta que ligue um ao outro. Desde domingo, o dinheiro também começou a ser misturado. Cerca de 28 bitcoins, algo como US$ 2,2 milhões, passaram por serviços de embaralhamento no estilo Wasabi.

A tese da inteligência artificial que não se sustenta

A velocidade levantou uma suspeita no mercado, a de que agentes de inteligência artificial estivessem operando a lavagem. Mas a Elliptic descartou a hipótese e listou o que viu no rastro. Os horários se repetem com precisão, os valores enviados são fixos, há tentativas repetidas às cegas quando uma transação falha e existem pausas que lembram jornada de trabalho humana. A empresa escreveu que a operação é claramente automatizada e que, no que ela observou, não há ninguém decidindo do outro lado.

O que existe, pelo retrato da análise, é um script que repete sempre o mesmo movimento em velocidade de máquina. A diferença importa porque muda o que se pode esperar dali. Um agente que decide improvisa diante de um bloqueio. Já o roteiro fixo repete a tentativa no mesmo formato, desenho que aparece no rastro.

O que ainda está parado

Pouco mais de US$ 3,24 bilhões seguem em endereços que a Elliptic liga ao roubo, a maior parte em ether e nos 18.270 bitcoins que não se moveram desde quinta-feira. Os bitcoins foram partidos em 19 endereços na mesma meia hora dos primeiros congelamentos. O ether está mais espalhado, cerca de 68.700 moedas em 850 endereços, a maioria com 10 a 100 moedas. Nove endereços concentram 89% desse ether, e nenhum deles se mexeu desde sexta-feira.

A avaliação da Elliptic é que esse dinheiro muito provavelmente continua nas mãos do governo norte-coreano. Já a parte que foi lavada pode ter passado por redes chinesas de lavagem. Quase nada foi convertido em dinheiro de verdade até agora. Cerca de US$ 16 milhões chegaram a endereços que também guardam o produto do ataque à Bitget, em setembro, o que liga as duas operações pelo mesmo caminho de saída.

O plano esperado para o que sobrou segue o manual da Bybit. A troca de ether por bitcoin acontece em lotes pequenos, e o saldo vira dinheiro em mesas de balcão ao longo de meses. Os congelamentos ficarão mais difíceis daqui para a frente, porque ether e bitcoin não têm emissor para acionar. As chances que restam estão nos serviços centralizados, onde o dinheiro vai precisar aparecer em algum momento. A mesma conta já apareceu na matéria de 30 de outubro, para a parte que nenhuma empresa consegue travar por conta própria.

O FBI responsabilizou o TraderTraitor, grupo ligado ao governo norte-coreano, e divulgou centenas de endereços da operação. Endereço na lista serve de alerta para exchange, mesa de balcão e emissor. O que o invasor ganhou com a automação foi tempo, e o que a defesa ganhou nas primeiras horas foi mais tempo ainda.