Z „hot walletů“ s ratingem AAA bylo v šesti řetězcích odcizeno 9,7 milionu dolarů: Zde jsou zjištění společnosti Peckshield

Únik jako první nahlásil on-chainový vyšetřovatel

Incident jako první nahlásil on-chain vyšetřovatel Specter. Podle varování společnosti Peckshield zveřejněného v sobotu byly peněženky spojené se společností Triple-A, singapurskou platební bránou pro převody z fiat měn na kryptoměny, vyprázdněny o prostředky v sítích Ethereum, Tron, Polygon, Arbitrum, Solana a The Open Network (TON).

Společnost Triple-A provozuje platební infrastrukturu, která umožňuje obchodníkům přijímat kryptoměny a vypořádávat platby ve fiat měně, což znamená, že její „hot“ peněženky drží rotující fond prostředků zákazníků a likvidních stablecoinů pro rychlé zpracování transakcí. „Hot“ peněženky zůstávají kvůli rychlosti připojeny k internetu, což je kompromis, který je činí zranitelnějšími než offline „cold“ úložiště.

Data z blockchainu, která prověřili bezpečnostní výzkumníci, ukazují, že útočník vyměnil ukradené stablecoiny a další likvidní aktiva na decentralizovaných burzách, než výnosy převedl do sítě Ethereum. Prostředky skončily na jedné adrese začínající na 0x01F8, na které se v sobotu nacházelo přibližně 5 227 ETH v hodnotě asi 9,7 milionu dolarů.

Konsolidovaná peněženka přijala ukradená aktiva v několika tranších namísto jediného hromadného převodu, což je postup, který odpovídá způsobu jednání zločinců z minulosti, kteří metodicky převáděli aktiva napříč několika řetězci, než je znovu seskupili.

Na závěr je třeba zmínit, že společnost Peckshield již dříve upozornila na podobné konsolidace prostřednictvím mostů do sítě Ethereum, včetně podezření na zneužití, při kterém bylo před pouhými několika týdny převedeno 5,25 milionu dolarů z Hedery do sítě Ethereum.

Známý vzorec pro platební infrastrukturu

Společnost Triple-A se připojuje k rostoucímu seznamu zpracovatelů kryptoměnových plateb a burz, které se letos staly terčem útoků zaměřených na kompromitaci „hot“ peněženek. Útoky na firmy provozující infrastrukturu Web3 často probíhají podle podobného scénáře: útočníci získají přístup k soukromým klíčům „hot wallet“ nebo k nesprávně nakonfigurovanému smart kontraktu, rychle vyberou likvidní aktiva a poté výnosy „vyperou“ prostřednictvím decentralizovaných burz (DEX) a mezireťazcových mostů, než centralizované platformy stihnou prostředky zmrazit.

Zcela identický scénář jsme mohli pozorovat v květnu, kdy byl z Gravity Bridge odcizen 5,4 milionu dolarů, přičemž útočník směroval ukradené prostředky přes Binance, aby zamaskoval stopy. A nejen to – tento gigant v oblasti kyberbezpečnosti zjistil, že odvětví přišlo jen v červnu o 75,87 milionu dolarů v důsledku 40 samostatných hackerských útoků, což představuje pokles o 7,13 % oproti květnovým 81,7 milionu dolarů (přičemž kompromitace „hot walletů“ patří i nadále k nejčastějším vektorům útoků spolu s chybami ve smart kontraktech a úniky soukromých klíčů).

Nebyla přijata žádná nápravná opatření

Více než osm hodin poté, co byl útok poprvé nahlášen, společnost Triple-A dosud nevydala oficiální prohlášení, ve kterém by útok potvrdila nebo upřesnila, jaké prostředky zákazníků byly případně zasaženy. Toto mlčení vyvolává otázky, zda obchodníci využívající platební systémy společnosti Triple-A zaznamenali nějaké narušení vypořádání plateb a zda společnost disponuje dostatečnými rezervami k plnému odškodnění postižených uživatelů.

V průběhu následujících několika hodin budou bezpečnostní výzkumníci pravděpodobně i nadále sledovat konsolidovanou adresu v síti Ethereum, zda se neobjeví známky toho, že útočník přesouvá prostředky na centralizované burzy nebo do mixovací služby – tento krok by mohl vyšetřovatelům poskytnout šanci označit peněženku ještě předtím, než dojde k výběru výnosů.