Investigación de Atomic Wallet

1. Match Systems apoya actualmente varios casos relacionados con el hackeo de Atomic Wallet (el mayor de ellos, por 8 millones de dólares).

Ya se han abierto causas penales por algunos de ellos, incluidas Kazajistán y Estonia (número de caso 23221000007). Se conocen causas penales en al menos 5 jurisdicciones distintas. También se sabe de la primera citación a interrogatorio de directivos de Atomic Wallet por parte de la policía en Kazajistán.

2. Para blanquear los fondos robados, se usaron activamente servicios que no cuentan con procedimientos de KYC ni AML para las transacciones:

• servicios de swap y plataformas entre cadenas, tanto conocidas (Uniswap, 1inch y otras) como relativamente nuevas (SimpleSwap, SunSwap, SwftSwap y otras);
• puentes y blockchains (Avalanche-C, Klaytn, Orbit), cuyas transacciones actualmente no son rastreables en los principales analizadores de blockchain y requieren exploradores de blockchain nativos para la analítica;
• el mezclador Sinbad.io.

Desde el hackeo de Atomic Wallet, hemos observado un aumento significativo del volumen de fondos que han pasado por estos servicios. Por ejemplo, los volúmenes del mezclador Sinbad (datos de Chainalysis) se más que triplicaron en junio:

Y el número de transacciones en la dirección operativa del servicio SwftSwap creció en un orden de magnitud en junio:

Los atacantes, en sus esquemas de blanqueo de capitales, usan procedimientos de swap complejos y diversos tokens «envueltos» (wrapped), que solo están disponibles para la analítica usando herramientas especializadas (p. ej., Phalcon):

En total, y solo según los datos conocidos, los fondos de criptomonedas robados de los Atomic Wallets de las víctimas se blanquearon a través de los servicios anteriores (en distintas combinaciones) por un valor total de más de 100 millones de dólares (las cifras reales pueden ser mucho más altas).

Estos servicios no están actualmente en contacto activo y se abstienen de cualquier comentario. Además, algunos servicios de swap (en particular, SimpleSwap) operan usando la liquidez de los principales exchanges (sobre todo Binance y Huobi) y no están marcados como entidades separadas en los analizadores de blockchain, lo que también dificulta el seguimiento del movimiento de los fondos robados. De hecho, usando tales servicios de swap, los fondos robados pasan por el «monedero caliente» del exchange y quedan completamente blanqueados cuando salen del exchange.

Cabe señalar que los servicios de swap anónimos son ahora cada vez más utilizados por los estafadores en la práctica (no solo en casos relacionados con el hackeo de Atomic Wallet), ya que permiten blanquear fondos «sucios» sin usar AML ni KYC. Y la regulación de este segmento del mercado cripto todavía está en un nivel embrionario.

3. La situación actual con el hackeo podría haber sido causada por el nivel insuficiente de seguridad en la construcción de la arquitectura del monedero. A partir de fuentes abiertas se supo que copias de las claves privadas de los monederos de los usuarios de Atomic Wallet podrían haberse transferido al servidor de la empresa Atomic Wallet. Además, el servidor de la empresa Atomic Wallet podría haber alojado frases de recuperación de monederos que no eran suficientemente aleatorias, lo que también podría haber llevado al robo.

Así, los empleados y directivos de Atomic Wallet podrían haber tenido acceso a las claves privadas y a las frases de recuperación de los monederos de los usuarios. La administración de Atomic Wallet no se pone en contacto ni asiste debidamente en el proceso de investigación del hackeo, incluidas las fuerzas del orden. Los representantes de Atomic Wallet remiten a la interacción con Chainalysis, que es un socio oficial en la investigación del incidente.