THORChain movimentou US$ 46 milhões do hack da Binance em 72 horas e cobrou US$ 200 mil em taxas, diz o WSJ

O que há de novo

Já mostramos o endereço comum entre Binance, Bitget e THORChain nos primeiros dias do caso. O Journal acrescenta o total das primeiras 72 horas, as taxas e detalhes sobre quem opera esses serviços.

Não conseguimos abrir o texto do Journal, que é pago. Os números vêm de relatos sobre a reportagem: uma nota da ChainCatcher, um artigo da ShiftDelete.Net e um resumo no Financial Crime News Briefs. Eles coincidem nos números que têm em comum.

Todos esses números são da Chainalysis, citada pelo Journal.

Cuidado ao ler as 72 horas

Alguns títulos dizem que a THORChain movimentou os US$ 46 milhões depois do pedido do FBI. As datas que lemos não sustentam isso por inteiro.

O roubo foi em 29 de outubro. Segundo a ShiftDelete, o alerta do FBI saiu dois dias depois. Como os US$ 46 milhões cobrem as 72 horas após o roubo, boa parte desse período veio antes do alerta. Não encontramos a divisão entre antes e depois. Os relatos dizem que os serviços continuaram processando transações depois do apelo, mas não sabemos quantos dólares se moveram nessa fase.

Uma conta rápida: US$ 200 mil sobre US$ 46 milhões dão cerca de 0,43%. No caso da Bybit, pelo menos US$ 12 milhões sobre quase US$ 1 bilhão dão cerca de 1,2%. A conta é nossa e aproximada, e não sabemos por que as taxas diferem.

O que o FBI pediu

O alerta, emitido com o Serviço Secreto e a investigação criminal do IRS, atribui o roubo ao TraderTraitor, nome que o FBI dá a um grupo norte-coreano. A GovInfoSecurity informa que ele lista 608 endereços de Ethereum, 19 de bitcoin e um de Solana, e pede a operadores de nós da THORChain, operadores de RPC, serviços de swap instantâneo, DeFi, empresas de análise e outros provedores que recusem transações "with or derived from", ou seja, ligadas a esses endereços ou derivadas deles.

A CNBC relatou, citando a mídia estatal, que a Coreia do Norte rejeitou a acusação e a chamou de "grave provocação política".

A resposta da THORChain

Os fundadores repetem que ninguém consegue escolher transações. Segundo a GovInfoSecurity, o cofundador Chad Barraford escreveu no X que os operadores de nós têm "zero information that isn't already public", e o cofundador JP Thor escreveu que, se os operadores tirarem o protocolo do ar, "the experiment is over".

A ShiftDelete diz que Barraford contou ao The Block, em 1º de novembro, que o site oficial da THORChain bloqueou os endereços marcados pelo FBI, mas que esperava que os operadores voltassem a negociar normalmente.

Críticos discordam. A ShiftDelete cita Nick Carlsen, ex-analista do FBI hoje na TRM Labs, que disse ao Journal que a THORChain é o maior canal de lavagem da Coreia do Norte e que o discurso de descentralização esconde uma operação centralizada e lucrativa.

O resumo do Financial Crime News Briefs acrescenta que investidores de um protocolo de empréstimos baseado na THORChain processaram os desenvolvedores, alegando acesso a uma chave mestra, o que um cofundador negou. Outro cofundador disse ao jornal que a chave administrativa foi removida e que 111 nós operam a rede hoje. Só temos essa informação pelo resumo.

Quanto dinheiro ainda está por aí

As empresas medem coisas diferentes em datas diferentes, então os totais não batem.

Por esses números, as 72 horas da THORChain representam menos de 2% do que os atacantes ainda têm. A TRM disse em 3 de novembro que os principais saldos em Ethereum e Bitcoin não tinham nova atividade relevante. Isso pode ter mudado nos seis dias seguintes.

A Elliptic contou cerca de 12 mil carteiras e mais de 40 mil transações em 11 redes, em menos de quatro dias, segundo a GovInfoSecurity. Disse à CNBC que cerca de US$ 786 milhões em stablecoins foram trocados antes do congelamento e que só uma quantia insignificante virou dinheiro.

Há outras rotas. A TRM descreve tokens criados pelo próprio atacante na TRON e pontes encadeadas. A Bloomberg, publicada pelo The Japan Times, informou em 6 de novembro que a Chainalysis viu parte do dinheiro passar por redes chinesas de lavagem.

O que fazer se você opera ou faz swaps

Confira antes de enviar. Se você usa serviço de swap ou recebe moedas de desconhecidos, consulte a lista de endereços do FBI e pergunte de onde vieram as moedas. O alerta fala em fundos derivados desses endereços, então alguns serviços podem olhar mais de um passo para trás. Quão longe cada corretora olha não é público, e não conseguimos confirmar a regra de nenhuma.

Se você tem RUNE, separe as duas perguntas. O preço reagiu pouco, com faixa de US$ 0,559 a US$ 0,589 em 24 horas. Isso não diz nada sobre eventual ação das autoridades. Não encontramos nas fontes lidas nenhuma ação dos EUA anunciada contra operadores da THORChain.

Se você tem conta na Binance, veja o status do seu ativo. A PANews informou em 9 de novembro que a Binance Alpha restabeleceu saques em quatro redes, com outros ativos em fases.

Ignore mensagens de indenização. Notícias assim atraem links e mensagens falsas de "compensação da Binance". Use só os canais oficiais e nunca digite sua frase-semente em um site aberto a partir de mensagem.

Para ver a pressão no mercado, acompanhe nossa página de liquidações e as taxas de funding.

O que não conseguimos confirmar

Lemos a reportagem do Wall Street Journal apenas por três relatos secundários. A Foresight News retornou página de erro, e não abrimos o texto do The Block nem a página do alerta do FBI que tentamos, que deu 404. Nenhum relato divide os US$ 46 milhões entre antes e depois do apelo do FBI.