“Я тот, кто забрал твои деньги и хочу их вернуть”

6 сентября 2023 года неизвестный владелец Ethereum-кошелька лишился криптовалюты на сумму около $24,2 млн. За короткое время с его адреса исчезли 9 579 stETH стоимостью приблизительно $15,6 млн и 4 850 rETH ещё на $8,5 млн.

Оба актива представляли собой токены ликвидного стейкинга Ethereum. stETH выпускается протоколом Lido, а rETH - Rocket Pool. Они позволяют владельцам участвовать в стейкинге ETH, сохраняя возможность использовать связанные с ним активы в других криптовалютных сервисах.
Произошедшее привлекло внимание блокчейн-аналитиков. Исследователи Scam Sniffer, PeckShield и других компаний начали изучать транзакции и пришли к выводу, что причиной потери средств, вероятнее всего, стала фишинговая атака.

При этом злоумышленнику не потребовалось взламывать блокчейн Ethereum или подбирать закрытый ключ пострадавшего. Вместо этого он, предположительно, заставил владельца кошелька самостоятельно предоставить разрешение на использование своих токенов.

Главную роль сыграла функция increaseAllowance. В Ethereum она позволяет увеличить количество токенов, которое определённый адрес или смарт-контракт вправе потратить от имени владельца.
Такие разрешения широко применяются в DeFi. Например, при обмене токенов пользователь может разрешить смарт-контракту децентрализованной биржи списать определённую сумму со своего кошелька. Но если аналогичное разрешение получает злоумышленник, он может использовать его для вывода активов.

Именно это, по данным специалистов, произошло в сентябре 2023 года. Пострадавший подписал две отдельные транзакции increaseAllowance - одну для stETH, другую для rETH. В результате подозрительный адрес получил возможность распоряжаться соответствующими токенами.
После получения разрешений злоумышленник воспользовался функцией transferFrom, которая позволяет переводить токены с чужого адреса в пределах предоставленного лимита.

Средства были отправлены на адрес 0x693b725a...1bec1555, отмеченный в Etherscan как связанный с фишингом. Среди участников операции также фигурировал адрес 0x4c10a462...01120ab1, получивший разрешения на списание активов.

Таким образом, злоумышленник получил контроль над миллионами долларов без непосредственного доступа к закрытому ключу жертвы. Достаточно было добиться подтверждения нескольких вредоносных операций.

Аналитики предполагали, что пострадавший перешёл по фишинговой ссылке и взаимодействовал с поддельным интерфейсом, который убедил его предоставить необходимые разрешения. Однако какой именно сайт использовался и под каким предлогом пользователя заставили подписать транзакции, публично установить не удалось.

Кража стала одним из крупнейших известных случаев фишинга против отдельного владельца криптокошелька. Похищенные активы начали перемещаться между адресами, связанными с предполагаемыми злоумышленниками, а часть средств впоследствии направили в миксер Tornado Cash.

На этом история могла бы закончиться очередным расследованием крупной криптовалютной кражи. Но спустя почти десять месяцев произошло нечто необычное: человек, представившийся похитителем, неожиданно вышел на связь с пострадавшим и предложил вернуть деньги.

После кражи $24,2 млн в сентябре 2023 года похищенная криптовалюта начала перемещаться между различными адресами. Блокчейн-аналитики обнаружили, что часть средств проходила через криптовалютный обменник FixedFloat. Злоумышленник отправлял через сервис несколько переводов примерно по $100 тысяч, затрудняя дальнейшее отслеживание активов.

На протяжении следующих месяцев публичных сообщений о возвращении денег не появлялось. Личность похитителя оставалась неизвестной, а перспективы возврата миллионов выглядели неопределёнными.

Но 6 июля 2024 года, почти через десять месяцев после кражи, произошло неожиданное событие. На Ethereum-адрес пострадавшего поступила транзакция с необычным содержимым. Вместо очередного перевода криптовалюты неизвестный отправитель оставил текстовое сообщение.

Оно начиналось словами:

Следом отправитель заявил, что хочет вернуть похищенные средства, и попросил пострадавшего ответить ему.

Для общения злоумышленник использовал новый Ethereum-адрес, отличавшийся от кошельков, которые аналитики ранее связывали с сентябрьской атакой. При этом отправитель не раскрыл свою личность и не объяснил, почему решил выйти на связь спустя столько времени.

Особенность сообщения заключалась в способе его доставки. В Ethereum можно передавать не только криптовалюту, но и дополнительные данные внутри транзакции. Текст записывается в блокчейн, а любой пользователь может просмотреть его через обозреватель Etherscan.

В отличие от обычной переписки в мессенджере, такое сообщение становится частью публичной истории сети. Его можно связать с конкретной транзакцией, проверить адрес отправителя и установить время публикации.

Однако само по себе сообщение не доказывало, что отправивший его человек действительно совершил кражу. Любой пользователь мог написать пострадавшему, представившись похитителем. Чтобы подтвердить свои намерения, неизвестному предстояло сделать нечто большее, чем просто оставить текст в блокчейне.

На тот момент оставалось непонятно, почему человек, предположительно укравший миллионы долларов, спустя десять месяцев решил добровольно отказаться от части добычи.

Вскоре оказалось, что речь шла не только об обещаниях. Через несколько дней на адрес пострадавшего действительно начали поступать миллионы долларов в стейблкоине DAI.

Сообщение, отправленное 6 июля 2024 года, могло оказаться очередной попыткой обмана. Неизвестный представился человеком, похитившим $24 млн, и предложил вернуть деньги. Однако на тот момент ничто не подтверждало серьёзности его намерений.

Ситуация изменилась спустя два дня.

8 июля на адрес пострадавшего поступили 5 236 875 DAI - стейблкоина, стоимость которого привязана к доллару США. Это был первый крупный перевод в рамках неожиданного возврата похищенных средств.

13 июля последовала вторая транзакция на 4 044 323 DAI, а 15 июля — третья, ещё на 1 078 088 DAI. Таким образом, всего за неделю на кошелёк пострадавшего вернулось более $10,3 млн.

Необычные переводы привлекли внимание блокчейн-исследователей. Аналитики Scam Sniffer связали возвращение средств с фишинговой атакой сентября 2023 года, а движение криптовалюты стало предметом публикаций криптовалютных СМИ.

При изучении маршрутов исследователи также обнаружили взаимодействия с инфраструктурой Railgun - протокола конфиденциальности, позволяющего скрывать часть информации о перемещении цифровых активов. Использование подобных инструментов затрудняет восстановление полной цепочки переводов, хотя отдельные входящие и исходящие транзакции остаются доступными для анализа.

Однако июльскими переводами история не закончилась.

Спустя почти полтора месяца, 2 сентября 2024 года, на тот же адрес поступили ещё два крупных платежа: 2 575 739 DAI и 3 037 427 DAI. За один день отправитель перечислил более $5,6 млн, увеличив общую сумму возврата почти до $16 млн.

Следующий перевод состоялся 12 сентября - 386 835 DAI. Затем, 26 сентября, поступили ещё 2,1 млн DAI.

Последний из выявленных переводов датирован 22 октября 2024 года. В этот день на адрес пострадавшего отправили 2 082 523 DAI.

Таким образом, с 8 июля по 22 октября 2024 года было зафиксировано восемь возвратов на общую сумму 20 541 810 DAI, что составляло приблизительно $20,54 млн.

Размер возвращённых средств особенно примечателен на фоне первоначального ущерба. В сентябре 2023 года пострадавший потерял stETH и rETH общей стоимостью около $24,2 млн. Сумма восьми последующих переводов DAI соответствует примерно 85% этой оценки. Однако прямое сравнение остаётся условным: первоначально были похищены другие активы, стоимость которых менялась со временем.

В результате то, что начиналось с одного неожиданного сообщения в Ethereum, превратилось в серию многомиллионных переводов, продолжавшуюся более трёх месяцев.

15 июля 2024 года история с похищенными $24 млн получила ещё один неожиданный поворот. После трёх переводов на общую сумму более 10,3 млн DAI пострадавший впервые публично ответил человеку, который представился похитителем его криптовалюты.

Для ответа он использовал тот же способ связи, что и предполагаемый злоумышленник: отправил сообщение непосредственно через блокчейн Ethereum.

В нём пострадавший подтвердил получение 10,3 млн DAI, поблагодарил отправителя за желание вернуть деньги и попросил перечислить оставшуюся сумму на тот же адрес.

Переписка выглядела необычно. Вместо обращения в полицию, публичных угроз или требований выкупа в блокчейне появилась почти деловая благодарность человеку, который, предположительно, десятью месяцами ранее похитил у отправителя миллионы долларов.

Однако за вежливой формулировкой скрывался вполне конкретный финансовый вопрос. К середине июля возвращённая сумма составляла менее половины первоначального ущерба в $24,2 млн. Остальные средства всё ещё находились вне контроля пострадавшего.

Уже на следующий день, 16 июля, предполагаемый похититель вновь вышел на связь. По данным CryptoSlate, он выразил готовность вернуть оставшуюся часть средств, но предложил сначала обсудить ситуацию конфиденциально.

В ответ пострадавший создал группу в Telegram для дальнейшего общения.
Таким образом, переговоры, начавшиеся с публичных Ethereum-транзакций, предполагалось перенести в закрытый канал, где участники могли обсудить условия без публикации каждого сообщения в блокчейне.

Что именно стороны обсуждали в Telegram, неизвестно. Публично доступных подтверждений достигнутого соглашения, его условий или требований предполагаемого похитителя обнаружить не удалось.

Но дальнейшее движение денег показывает, что июльскими переводами возврат не ограничился.
2 сентября 2024 года на адрес пострадавшего поступили ещё 5,61 млн DAI двумя транзакциями. Затем последовали переводы 12 и 26 сентября, а 22 октября был зафиксирован ещё один платёж на 2,08 млн DAI.

Всего за период с июля по октябрь на адрес, связанный с пострадавшим, поступило 20,54 млн DAI в восьми транзакциях. Это примерно 85% долларовой оценки первоначально похищенной криптовалюты.

Публичные блокчейн-данные позволяют подтвердить суммы и последовательность этих переводов. Однако они не раскрывают, существовала ли договорённость между сторонами, какие условия могли обсуждаться в Telegram и почему предполагаемый похититель решил продолжить возврат.

К октябрю 2024 года предполагаемый похититель вернул пострадавшему более 20,5 млн DAI — сумму, сопоставимую примерно с 85% первоначального ущерба в долларовом выражении. При этом причины столь неожиданного решения остались неизвестными.

Единственная публично зафиксированная зацепка, которая может помочь понять дальнейшие события, — переписка между участниками.

15 июля пострадавший подтвердил получение первых 10,3 млн DAI и попросил вернуть оставшуюся сумму. На следующий день предполагаемый похититель выразил готовность обсудить дальнейший возврат конфиденциально. Для этого пострадавший создал группу в Telegram.

Содержание последующих переговоров неизвестно. Однако блокчейн-данные показывают, что в сентябре и октябре переводы продолжились. В общей сложности с июля по октябрь 2024 года на адрес пострадавшего поступило 20 541 810 DAI.

Можно предположить, что стороны достигли определённой договорённости. Но никаких публичных подтверждений её существования или условий обнаружить не удалось.

Нет и достоверных свидетельств того, что возврат был вызван давлением правоохранительных органов, угрозой разоблачения или раскаянием предполагаемого похитителя.
В итоге блокчейн позволяет восстановить последовательность сообщений и переводов, но не раскрывает мотивы человека, который их совершал.

Почему спустя десять месяцев после кражи он сам вышел на связь и затем вернул более $20 млн, так и осталось главной загадкой этой истории.