KLYR Investigations · Cas réel anonymisé. "Monsieur B.", portefeuilles sources modifiés.
1. L'Appât : la compromission d'un portefeuille de placement1. The Bait: an investment wallet compromised
L'investisseur "Monsieur B." avait des placements importants en cryptomonnaies sur des plateformes automatisées, principalement AAVE et Venus, répartis sur les réseaux BNB Smart Chain (BSC) et Ethereum. Investor "Mr. B." managed significant liquidity positions on decentralized finance (DeFi) protocols, primarily AAVE and Venus Protocol, spread across the BNB Smart Chain (BSC) and Ethereum networks.
En l'espace de quelques heures, l'escroc, qui avait obtenu ses clés d'accès, a retiré directement les sommes placées. Plus de 970 000 $ (sur deux portefeuilles) ont été regroupés sur une adresse centrale. Within hours, the scammer (having successfully compromised his private keys) authorized direct withdrawal of massive collateral from these smart contracts. Over 970,000 USD (totaled across two wallets) were extracted to a single "Attacker Hub" wallet on the EVM blockchain.
2. Le Mur : un brouillage sur plusieurs dimensions2. The Wall: obfuscation on several levels
Contrairement aux fraudes grossières qui opèrent un transfert direct vers une plateforme d'échange, cet attaquant a conçu une architecture de blanchiment très sophistiquée conçue pour décourager les enquêteurs traditionnels. Unlike crude frauds that send funds directly to an exchange, this attacker designed a highly sophisticated laundering architecture intended to discourage traditional investigators.
Par exemple, le Circuit 3 a utilisé le service Butter Network, qui fait passer l'argent d'un réseau à l'autre pour transférer des jetons d'une blockchain à une autre. Le Circuit 4 a utilisé des services de type "Bridgers", changeant la nature des jetons et la blockchain d'accueil pour briser la trace comptable de l'actif. For instance, Circuit 3 utilized "Butter Network" (an interoperability bridge) to transfer tokens across blockchains. Circuit 4 used "Bridgers" services, changing the nature of tokens and the host blockchain to break the asset's accounting trail.
3. Le Scalpel : cartographier les sept circuits3. The Scalpel: mapping the seven circuits
L'équipe KLYR a pris en charge le Hub Attaquant EVM et procédé à une Plutôt que de suivre le montant global, nous avons suivi chaque circuit séparément, jusqu'à reconstituer tout le parcours. The KLYR team took charge of the EVM Attacker Hub and performed surgical mapping. Rather than following the overall volume, we isolated and audited each exfiltration vein independently, reconstructing the full flow graph.
Le traçage a révélé que, malgré la complexité apparente des bridges et des sauts (hops) multiples (jusqu'à la blockchain Tron et des protocoles obscurs), l'argent volé finit toujours par arriver sur une plateforme, pour être converti en euros ou en dollars. The tracing revealed that despite the apparent complexity of bridges and multiple hops (even to the Tron blockchain and obscure protocols), the stolen liquidity obligatorily converges to an endpoint to be converted into fiat currency.
Une partie des placements était encore bloquée, et l'escroc surveillait ces comptes avec des programmes automatiques prêts à les vider.
KLYR a organisé leur mise à l'abri : un premier retrait partiel, discret, puis le transfert de 58 420 USDC en une seule opération, exécutée avant que les programmes de l'escroc ne puissent réagir.
Bilan : 327 700 $ mis à l'abri. Second phase: putting the funds out of reach
Part of the investments was still locked, and the scammer was watching these accounts with automated programs ready to empty them.
KLYR organised their rescue: a first, discreet partial withdrawal, then the transfer of 58,420 USDC in a single operation, executed before the scammer's programs could react.
Result: $327,700 put out of reach.
4. La Chute : HitBTC et Binance, deux leviers judiciaires4. The Fall: HitBTC and Binance, two legal levers
Au terme de l'audit de ces 7 circuits, KLYR a identifié plusieurs adresses de dépôt liés à deux plateformes d'échange principales : Binance et HitBTC. Upon completing the audit of these 7 circuits, KLYR identified multiple confirmed terminal deposit wallets linked to two main regulated exchange platforms: Binance and HitBTC.
La réglementation leur impose d'identifier leurs clients : ces plateformes détiennent donc l'identité (passeport, adresse, coordonnées bancaires) des titulaires des portefeuilles de réception. KLYR a remis à l'avocat de Monsieur B. un tableau de preuves et les éléments nécessaires aux demandes à l'étranger, qui visent l'escroc au moment où il encaisse. Regulation requires them to identify their customers: these platforms therefore hold the identity (passport, address, bank details) of the receiving wallet owners. KLYR provided Mr. B.'s counsel with an evidence matrix and the material needed for international requests, catching the attacker at the precise moment of cash out.
Votre argent a été mélangé puis déplacé d'un réseau à l'autre ? Was your money mixed and then moved from one network to another?
Les transactions ne s'effacent pas. Même un parcours volontairement brouillé se reconstitue. Transactions do not disappear. Complexity only delays the analysis: we reconstruct the most tangled setups.
Déposer mon dossierSubmit my case