Enquête sur Atomic Wallet

1. Match Systems soutient actuellement plusieurs affaires liées au piratage d'Atomic Wallet (la plus importante d'entre elles portant sur 8 millions de dollars).

Des affaires pénales ont déjà été ouvertes pour certaines d'entre elles, notamment au Kazakhstan et en Estonie (numéro d'affaire 23221000007). Des affaires pénales sont connues dans au moins 5 juridictions différentes. On a également connaissance de la première convocation à un interrogatoire de dirigeants d'Atomic Wallet par la police au Kazakhstan.

2. Pour blanchir les fonds volés, des services ne disposant pas de procédures KYC ni AML pour les transactions ont été activement utilisés :

• des services de swap et des plateformes inter-chaînes, aussi bien connus (Uniswap, 1inch et autres) que relativement nouveaux (SimpleSwap, SunSwap, SwftSwap et autres);
• des ponts et des blockchains (Avalanche-C, Klaytn, Orbit), dont les transactions ne sont actuellement pas traçables dans les principaux analyseurs de blockchain et nécessitent des explorateurs de blockchain natifs pour l'analytique;
• le mixeur Sinbad.io.

Depuis le piratage d'Atomic Wallet, nous avons observé une augmentation significative du volume de fonds ayant transité par ces services. Par exemple, les volumes du mixeur Sinbad (données de Chainalysis) ont plus que triplé en juin :

Et le nombre de transactions sur l'adresse opérationnelle du service SwftSwap a augmenté d'un ordre de grandeur en juin :

Les attaquants, dans leurs schémas de blanchiment d'argent, utilisent des procédures de swap complexes et divers jetons « wrappés », qui ne sont disponibles pour l'analytique qu'à l'aide d'outils spécialisés (p. ex. Phalcon) :

Au total, et seulement d'après les données connues, les fonds en cryptomonnaies volés dans les Atomic Wallets des victimes ont été blanchis via les services ci-dessus (dans diverses combinaisons) pour une valeur totale de plus de 100 millions de dollars (les chiffres réels peuvent être bien plus élevés).

Ces services ne sont actuellement pas en contact actif et s'abstiennent de tout commentaire. De plus, certains services de swap (en particulier SimpleSwap) opèrent en utilisant la liquidité des principales plateformes d'échange (avant tout Binance et Huobi) et ne sont pas marqués comme des entités distinctes dans les analyseurs de blockchain, ce qui complique également le suivi du mouvement des fonds volés. En fait, en utilisant de tels services de swap, les fonds volés passent par le « hot wallet » de la plateforme et sont entièrement blanchis lorsqu'ils quittent la plateforme.

Il convient de noter que les services de swap anonymes sont désormais de plus en plus souvent utilisés par les fraudeurs en pratique (pas seulement dans les affaires liées au piratage d'Atomic Wallet), car ils permettent de blanchir des fonds « sales » sans recourir à l'AML ni au KYC. Et la régulation de ce segment du marché crypto en est encore à un niveau embryonnaire.

3. La situation actuelle avec le piratage pourrait avoir été causée par le niveau de sécurité insuffisant dans la construction de l'architecture du portefeuille. À partir de sources ouvertes, on a appris que des copies des clés privées des portefeuilles des utilisateurs d'Atomic Wallet pourraient avoir été transférées vers le serveur de la société Atomic Wallet. De plus, le serveur de la société Atomic Wallet pourrait avoir hébergé des phrases de récupération de portefeuilles qui n'étaient pas suffisamment aléatoires, ce qui pourrait également avoir conduit au vol.

Ainsi, les employés et dirigeants d'Atomic Wallet pourraient avoir eu accès aux clés privées et aux phrases de récupération des portefeuilles des utilisateurs. L'administration d'Atomic Wallet ne prend pas contact et n'apporte pas d'assistance appropriée dans le processus d'enquête sur le piratage, y compris auprès des forces de l'ordre. Les représentants d'Atomic Wallet renvoient à l'interaction avec Chainalysis, qui est un partenaire officiel dans l'enquête sur l'incident.