Расследование: роль бота Вилли в крахе MtGox

WizSec, консалтинговая компания по информационной безопасности из Токио, выпустила предварительный отчет, основанный на утечке данных о торгах с неработающей ныне биткойн-биржи MtGox. Биржа остановила торги в феврале 2014 года, затем в марте того же года объявила о банкротстве. Клиентские средства в размере 850 000 биткойнов ($450 миллионов на тот момент) были утеряны.

С ноября 2014 года биржа Kraken сотрудничает с властями, чтобы поддержать расследование, ведущееся от лица инвесторов. В то же время, WizSec занимается отслеживанием биткойн транзакций MtGox в неофициальном порядке. Данные WizSec дополняют «Доклад о Вилли«, опубликованный анонимным исследователем в мае 2014. Этот доклад раскрывает подробнее подозрительную торговую активность на MtGox. В докладе был сделан вывод о бесчинствах торговых ботов, работавших в системе под различными пользовательскими аккаунтами. В том числе, один из этих ботов, известный как Вилли (Willy), размещал исключительно ордера на покупку, чем взвинчивал цену в течение продолжительного времени.

Другой бот, известный как Маркус (Marcus) занимался продажей и покупкой биткойнов по случайным ценам, и при этом не платил комиссий. Пик активности этих двух ботов приходится на период конца октября — ноября 2013, как раз когда происходил неожиданный и поставивший многих в тупик взлет цены биткойна. К ноябрю 2013-го, эти два бота «скупили» 570 000 BTC — вполне достаточно, чтобы серьезно повлиять на курс.

Анализ данных Чтобы предоставить больше деталей о действиях Вилли и его оператора (или операторов), отчет WizSec, опубликованный 14 февраля 2015, использует утечку данных о торгах с MtGox, случившуюся в начале 2014.

Компания сообщает, что предварительный анализ был закончен шесть месяцев назад, с целью предоставления его доверительным управляющим, равно как и другим участникам расследования, включая полицию. WizSec заверяет, что обнародованная информация никак не повлияет на ход дальнейшего расследования по делу MtGox, но в то же время, она привнесет некоторую ясность для обворованных клиентов биржи.

Согласно отчету, с сентября по ноябрь 2013, Вилли оказал существенное влияние на MtGox, проторговав свыше 250 000 BTC. На часовом графике ниже видно, что в некоторых случаях, этот бот отвечает за более 30% от объема покупок. В некоторые часы, объем сделок Вилли доходил и вовсе до 80%-90%.

Но вопрос в том, повлиял ли этот объем на цену Биткойна в то время? WizSec говорит, что с весьма высокой вероятностью, именно поведение бота оказывало сильное влияние на цену:

Это открывает возможность того, что кроме (или вдобавок) к краже биткойнов, план [стоящих за ботом злоумышленников] включал также и манипулирование рынком.

Компания приводит примеры того, что цена отыгрывала вниз в периоды отсутствия активности со стороны Вилли.

Утечка конфиденциальных данных о торгах прекратилась 30 ноября 2014. После этого момента неизвестно, продолжал ли Вилли оказывать влияние, равно как и неизвестно, продолжалась ли кража «купленных» ботом биткойнов.

Четкие параметры Реконструируя торговые ордера бота, компания обнаружила, что Вилли работал под несколькими разными аккаунтами. Каждый из аккаунтов имел четко определенные параметры в отношении максимального количества биткойнов, которые было возможно купить одним ордером.

По мере того, как цена биткойна продолжала расти, Вилли перенастраивали на покупку меньших объемов. Это делалось для того, чтобы фиатный депозит на каждом из аккаунтов не исчерпывался слишком быстро.

Однако же, WizSec также заметил некоторые аномальные ордера со слишком высокой ценой, которые выдаются далеко за пределы параметров, установленных для автоматической торговли бота. На картинке ниже они обведены в рамку.

Эти ордера по высокой цене характеризуются круглыми значениями. Их могли размещать для придания более случайного вида происходящему. По этой причине, WizSec считает, что эти ордера были созданы вручную. В более позднее время, человек, контролировавший Вилли, мог намеренно использовать значения, которые выглядели случайными, чтобы отвлечь внимание от этих больших ордеров.

Профилирование Вилли Используя метки времени, команда обнаружила, что отсутствие активности между 17:00 и 20:00 по Гринвичу может указывать на циклы сна и перемещения оператора. WizSec отметил все подозрительные действия Вилли в течение каждых суток на следующем графике (часовой пояс Японии):

Эта модель может указывать на то, что оператор спал мало и нерегулярно. Или же, с ботом могли работать несколько операторов. Данные указывают на гораздо большую активность по рабочим дням, чем в выходные. Это говорит о том, что, возможно, оператор был наемным сотрудником. Большой разброс в часах по суткам также подсказывает, что оператор мог иметь доступ к управлению с работы и из дома. Известно, что бот действовал в течении периодов времени, когда у остальных пользователей не было доступа к MtGox. Это позволяет с большой уверенностью судить о вмешательстве изнутри компании (работа инсайдера).

Впереди длинный путь WizSec говорит, что есть еще несколько вопросов, которые требуют дальнейшего разбирательства. Компании-аудитору по информационной безопасности еще предстоит выяснить, каким образом заведение таких колоссальных объемов фиата на счета MtGox могло оставаться незамеченным. Да и вообще непонятно, был ли там на самом деле этот фиат, или он был просто «нарисован».

Требуется больше информации, чтобы понять что произошло с биткойнами, купленными Вилли, равно как и с долларами США, которые аккумулировал «зеркальный Вилли» в феврале 2014.

Не до конца понятно и само предназначение Вилли. Требуется больше ясности в вопросе был ли это только инструмент для скупки биткойнов или он также был средством для манипуляции ценой.

Остаются вопросы по поводу местонахождения Вилли и был ли он запущен во внутренней сети MtGox или подключался извне.

Наконец, WizSec говорит, что они все еще расследуют роль, которую Вилли сыграл в событиях, приведших к краху MtGox.

Компания настоятельно просит связаться с ними всех, у кого есть какая-либо информация. «Мы собираем этот паззл долгое время, так что любой дополнительный фрагмент будет в помощь», — говорят расследователи.

Источник: http://bitnovosti.com/