2億4200万ドルのクロスチェーン流出経路を解明、バイナンスハッカーが残す35億ドルはどう逃げるのか

翻訳｜Odaily 星球日报 Azuma

バイナンスで63億ドルが盗まれてから3日が経過した。11月1日21時27分時点で、**攻撃者（資金洗浄チーム）はトロン（Tron）という1つの送金経路だけで、すでに約2億4200万ドルを洗浄している。**そして、その前の凍結措置の後も、攻撃者は約35億ドルの不正資金を依然として掌握している。

以下は、私がオンチェーン追跡を通じて行った、今回の攻撃者の資金洗浄活動に関する完全な分析である。

トロン上の動き

攻撃者はトロンネットワーク上で合計6億2800万ドル（6億1270万USDTと4640万TRXを含む）を盗んだ。

事件当日、Tetherは3億7870万USDTを凍結し、残りの約2億4900万ドル相当のTRXは攻撃者が掌握して送金を続けた。その後、この資金は主に3つの方向に分かれた。

**第1の方向はクロスチェーンブリッジ経由の送金で、約1億9400万ドル相当。**このうち、以下の経路が主要な資金移動を担った：

Relay：4800万ドル；
THORChain：4400万ドル；
Chainflip：3210万ドル；
Symbiosis：1600万ドル；
USDT0：550万ドル；
Across：470万ドル。

**第2の方向はBitget Walletなどのサービス経由の送金で、約4300万ドル相当。**このうちBitget Walletが4170万ドルを占め、ほかにBridgersとNEAR Intentsがある。関連資金の最終的な行き先は依然として確認待ちである。

**第3の方向はトロンネットワーク上に残っている資金で、総額約2600万ドル。**主な行き先は以下の通り：

JustLend：1200万ドル；
USDTからUSDDへの交換：520万ドル；
HitBTCのサービスアカウント：420万ドル；
Gateのサービスアカウント：140万ドル；
ChangeHeroおよびその他の小規模サービス。

残りの約2200万ドルは、送金過程全体で手数料、スリッページ、価格変動によって失われた。クロスチェーン後の資金の行き先を見ると、大部分の資金は最終的にイーサリアムメインネットに流入しており、約53,300 ETHを含む。ほかに約68.8 BTCがビットコインネットワークに移され、約1590万USDTと120万USDCがイーサリアムに残り、441万USDCがLighterに移され、さらに少額の資金がArbitrumとBaseに流入した。

以下の図は、凍結後のトロンネットワーク上の不正資金の完全な流れを示しており、資金が経由した各クロスチェーンブリッジと、最終的に到達したチェーンを含む。

流出経路1：THORChain

THORChainは今回、攻撃者がトロンネットワークから資金を移した最大の単一経路である。攻撃者は2,697件の入金を通じて、1億8510万TRXと383万USDTをTHORChainに注入した。

最終的に送り出された資金は以下の通り：

17,019 ETH（170のイーサリアムアドレスに分散）；
53.25 BTC（20のビットコインアドレスに分散）；
268,928 USDTと90,025 USDC（イーサリアムへ）；
2.41 ETH（Baseへ）；
8.01 ZEC。

さらに、4,687万TRXと33.9万USDTが攻撃者のトロンウォレットに返還され、その後、別の経路で送り出された。

純額で見ると、**攻撃者はTHORChainを通じて約4,830万ドルを交換し、最終的に約4,270万ドルを受け取った。約570万ドル（12%）が手数料とスリッページで失われた。**これらの交換に関与したフロントエンドインターフェースは、関連取引を通じて約14.58万枚のRUNE（約9.5万ドル相当）の収益分配を得た。

以下の図は、THORChain経由で送り出された資金が最終的にどのブロックチェーンへ流れたか、および対応する受取ウォレットを示している。

流出経路2：Relay Protocol

Relay Protocolは今回の資金洗浄活動で、これまでをはるかに超える役割を果たした。

過去のTraderTraitorハッキング事件では、Relayは不正資金の洗浄にほとんど関与していなかったが、今回は攻撃者がトロンネットワークから資金を移す第2の経路となった。攻撃者は735件の入金を通じて、3,764万USDTと3,928万TRXをRelayに送り込んだ。

最終的に着金した資金は以下の通り：

14,656 ETH（52のアドレスに分散）；
966万USDT（12のイーサリアムアドレスに分散）；
441万USDC（パーペチュアルDEX「Lighter」の43アカウントへ。これらの資金はその後すべて移されている）；
0.656 BTC（ビットコインネットワークへ）。

資金移動の速度は驚くべきものだった。最大の受取アドレス（0xc8D516a53e28909d9eAB92642938762eA36F9093）は97件の取引で累計2,804 ETHと102万USDTを受け取り、あるトロンウォレットはほぼ1分ごとに約10万USDTを同アドレスに送っていた。

さらに、353万TRXと119万USDTが攻撃者のトロンウォレットに返還され、その後再び送り出された。

以下の図は、Relay経由で移された資金が最終的にどのブロックチェーンへ流れたか、および対応する受取ウォレットを示している。

流出経路3：Chainflip

Chainflipは攻撃者が使った第3の経路であり、過程全体で最も混乱した経路でもある。

攻撃者は571件の入金を通じて4,971万USDTをChainflipに送り込んだが、そのかなりの部分で交換取引が失敗した。取引が失敗するたびに資金は新たに作成されたトロンウォレットに返還され、その後攻撃者は直ちにその資金を再びChainflipに送り込み、再度交換を試みた。

累計1,791万USDTが取引失敗により返還され、送金が再実行された。一部の資金は数回にわたって試行が繰り返された。

最終的に成功裏に送り出された資金は以下の通り：

13,174 ETH（196のイーサリアムアドレスに分散）；
415,604 USDT（イーサリアムへ）；
14.94 BTC（2つのビットコインアドレスへ）。

以下の図は、Chainflip経由で移された資金が最終的にどのブロックチェーンへ流れたか、および対応する受取ウォレットを示している。

流出経路4：Symbiosis

Symbiosisは第4の資金移動経路である。前述の経路とは異なり、攻撃者はここでは大口送金を集中的に行うのではなく、広く分散させる方式を取った。すなわち、1,367件の少額入金を通じて4,971万TRXをSymbiosisに送り込んだ。

最終的に着金した資金は以下の通り：

6,846 ETH（402のイーサリアムアドレスに分散）；
130,129 USDC（イーサリアムへ）；
14.45 ETH（Arbitrumへ）。

また、28件の入金（合計104万TRX）が交換に失敗し、その後33.6万USDTの形で攻撃者のトロンウォレットに返還された。

以下の図は、Symbiosis経由で移された資金が最終的にどのブロックチェーンへ流れたか、および対応する受取ウォレットを示している。

その他の経路

上述の主要経路以外にも、攻撃者は他のチャネルを通じて資金を移している。

トロンネットワークから送り出されたその他の資金の流れは以下の通り：

Bitget Wallet：約4,170万ドル。うち3,690万ドルは同サービスの「スワップ＋クロスチェーン」機能を通じて、481万ドルは同サービスのクロスチェーンブリッジを通じて移された。現在も多額の資金の行き先が未解明の経路であり、関連する宛先は同サービスが把握しており、さらなる確認が必要である。
USDT0：569万USDTが550万USDT0に交換されイーサリアムへ、さらに3.35万USDT0がArbitrumへ移された。残りの15.85万ドル相当は受け渡しに成功せず、クロスチェーンブリッジ内に滞留しており、凍結されている可能性がある。
Across Protocol：463万USDTが1,615 ETHと99.1万USDCに交換され、イーサリアムへ移された。
Bridgers：151万ドル。
NEAR Intents：17.1万ドル。

BridgersとNEAR Intentsの2つの経路については、資金の最終的な行き先は依然として確認待ちである。

トロンネットワーク上に残っている資金は以下の通り：