KLYR Forensic Unit · Cas réel anonymisé. "Monsieur B.", portefeuilles sources modifiés.
1. L'Appât : la compromission d'un portefeuille de placement
L'investisseur "Monsieur B." gérait des positions de liquidité importantes sur des protocoles de finance décentralisée (DeFi), principalement AAVE et Venus Protocol, répartis sur les réseaux BNB Smart Chain (BSC) et Ethereum. Investor "Mr. B." managed significant liquidity positions on decentralized finance (DeFi) protocols, primarily AAVE and Venus Protocol, spread across the BNB Smart Chain (BSC) and Ethereum networks.
En l'espace de quelques heures, l'escroc (ayant réussi à compromettre ses clés privées) a autorisé le retrait direct de collatéraux massifs depuis ces smart contracts. Plus de 970 000 USD (cumulés sur deux portefeuilles) ont été extraits vers un portefeuille "Hub Attaquant" unique sur la blockchain EVM. Within hours, the scammer (having successfully compromised his private keys) authorized direct withdrawal of massive collateral from these smart contracts. Over 970,000 USD (totaled across two wallets) were extracted to a single "Attacker Hub" wallet on the EVM blockchain.
2. Le Mur : un brouillage sur plusieurs dimensions
Contrairement aux fraudes grossières qui opèrent un transfert direct vers un exchange, cet attaquant a conçu une architecture de blanchiment très sophistiquée conçue pour décourager les enquêteurs traditionnels. Unlike crude frauds that send funds directly to an exchange, this attacker designed a highly sophisticated laundering architecture intended to discourage traditional investigators.
Par exemple, le Circuit 3 a utilisé le "Butter Network" (un pont interopérable) pour transférer des jetons d'une blockchain à une autre. Le Circuit 4 a utilisé des services de type "Bridgers", changeant la nature des jetons et la blockchain d'accueil pour briser la trace comptable de l'actif. For instance, Circuit 3 utilized "Butter Network" (an interoperability bridge) to transfer tokens across blockchains. Circuit 4 used "Bridgers" services, changing the nature of tokens and the host blockchain to break the asset's accounting trail.
3. Le Scalpel : cartographier les sept circuits
L'équipe KLYR a pris en charge le Hub Attaquant EVM et procédé à une cartographie chirurgicale. Plutôt que de suivre le volume global, nous avons isolé et audité chaque veine d'exfiltration indépendamment, reconstruisant le graphe de flux complet. The KLYR team took charge of the EVM Attacker Hub and performed surgical mapping. Rather than following the overall volume, we isolated and audited each exfiltration vein independently, reconstructing the full flow graph.
Le traçage a révélé que, malgré la complexité apparente des bridges et des sauts (hops) multiples (jusqu'à la blockchain Tron et des protocoles obscurs), la liquidité volée converge obligatoirement vers un point final pour être convertie en monnaie fiduciaire (fiat). The tracing revealed that despite the apparent complexity of bridges and multiple hops (even to the Tron blockchain and obscure protocols), the stolen liquidity obligatorily converges to an endpoint to be converted into fiat currency.
En parallèle du traçage, l'investisseur possédait encore des positions complexes bloquées sur des protocoles de prêt (Venus Protocol) et des bridges secondaires (Paradex). L'attaquant surveillait ces contrats avec des bots de front-running.
KLYR a déployé un protocole de sauvetage White-hat :
➜ Optimisation collatérale : Retrait partiel furtif pour améliorer le ratio de dette.
➜ Arbitrum Flashbots Sweep : 58 420 USDC ont été sécurisés via un Bundle Flashbots, exécutés invisiblement avant que le script du hacker ne puisse réagir au paiement du gas.
Bilan : 327 700 $ totalement sauvés de l'exploitation. PHASE 2: The Rescue (Secure Sweep)
Alongside the tracing, the investor still had complex positions locked on lending protocols (Venus Protocol) and secondary bridges (Paradex). The attacker was monitoring these contracts with front-running bots.
KLYR deployed a White-hat rescue protocol:
➜ Collateral Optimization: Stealth partial withdrawal to improve debt ratio.
➜ Arbitrum Flashbots Sweep: 58,420 USDC were secured via a Flashbots Bundle, executed invisibly before the hacker's script could react to gas payments.
Result: $327,700 totally saved from exploitation.
4. La Chute : HitBTC et Binance, deux leviers judiciaires
Au terme de l'audit de ces 7 circuits, KLYR a identifié de multiples portefeuilles de dépôt terminaux confirmés liés à deux plateformes d'échange principales : Binance et HitBTC. Upon completing the audit of these 7 circuits, KLYR identified multiple confirmed terminal deposit wallets linked to two main regulated exchange platforms: Binance and HitBTC.
La réglementation leur impose d'identifier leurs clients : ces plateformes détiennent donc l'identité (passeport, adresse, coordonnées bancaires) des titulaires des portefeuilles de réception. KLYR a fourni au conseil de Monsieur B. une matrice de preuves et les éléments nécessaires aux demandes internationales, ce qui rattrape l'attaquant au moment précis de l'encaissement. Regulation requires them to identify their customers: these platforms therefore hold the identity (passport, address, bank details) of the receiving wallet owners. KLYR provided Mr. B.'s counsel with an evidence matrix and the material needed for international requests, catching the attacker at the precise moment of cash out.
Votre argent a été mélangé puis déplacé d'un réseau à l'autre ? Was your money mixed and then moved from one network to another?
Les transactions ne s'effacent pas. La complexité ne fait que retarder l'analyse : nous reconstituons les montages les plus enchevêtrés. Transactions do not disappear. Complexity only delays the analysis: we reconstruct the most tangled setups.
Déposer mon dossierSubmit my case