Triple-A-hot wallets tømt for 9,7 millioner dollar på tværs af seks kæder: Her er, hvad Peckshield har fundet ud af

Onchain-efterforsker var den første til at påpege bruddet

Onchain-efterforskeren Specter rapporterede først om hændelsen. Ifølge en Peckshield-advarsel, der blev offentliggjort lørdag, var der blevet tømt midler fra tegnebøger tilknyttet Triple-A – en Singapore-baseret betalingsgateway, der håndterer overførsler fra fiat-valuta til kryptovaluta – på Ethereum, Tron, Polygon, Arbitrum, Solana og The Open Network (TON).

Triple-A driver en betalingsinfrastruktur, der gør det muligt for forhandlere at acceptere kryptovaluta og afregne i fiat-valuta, hvilket betyder, at virksomhedens hot wallets rummer en roterende pulje af kundemidler og likvide stablecoins for hurtigt at kunne behandle transaktioner. Hot wallets forbliver forbundet til internettet for at sikre hastighed – en afvejning, der gør dem mere sårbare end offline cold storage.

Onchain-data, der er gennemgået af sikkerhedsforskere, viser, at angriberen byttede de stjålne stablecoins og andre likvide aktiver på decentraliserede børser, inden udbyttet blev overført til Ethereum. Midlerne endte på en enkelt adresse, der begynder med 0x01F8, og som pr. lørdag indeholdt ca. 5.227 ETH til en værdi af omkring 9,7 millioner dollars.

Den samlede wallet modtog de stjålne aktiver i flere trancher i stedet for én samlet overførsel – en fremgangsmåde, der er i tråd med tidligere ondsindede aktører, der metodisk har konverteret aktiver på tværs af flere blockchains, før de samlede dem igen.

Endelig skal det nævnes, at Peckshield tidligere har påpeget lignende konsolideringer via broer til Ethereum, herunder et formodet sikkerhedshul, hvor 5,25 millioner dollar blev overført fra Hedera til Ethereum for blot et par uger siden.

Et velkendt mønster for betalingsinfrastruktur

Triple-A slutter sig til en voksende liste over kryptobetalingsudbydere og børser, der i år har været mål for angreb på hot wallets. Angreb på Web3-infrastrukturvirksomheder følger ofte et lignende forløb, dvs. at angribere får adgang til en hot wallets private nøgler eller en forkert konfigureret smart kontrakt, tømmer likvide aktiver hurtigt og hvidvasker derefter udbyttet gennem decentraliserede børser (DEX'er) og krydskædebroer, inden centraliserede platforme kan indefryse midlerne.

En nøjagtig kopi af denne fremgangsmåde blev observeret, da Gravity Bridge blev tømt for 5,4 millioner dollars i maj, hvor angriberen dirigerede de stjålne midler gennem Binance for at sløre sporet. Ikke nok med det: Cybersikkerhedsgiganten har konstateret, at branchen alene i juni mistede 75,87 millioner dollars som følge af 40 separate hackerangreb – et fald på 7,13 % i forhold til majs 81,7 millioner dollars (hvor kompromittering af hot wallets fortsat er blandt de mest almindelige angrebsvektorer sammen med fejl i smart contracts og lækager af private nøgler).

Ingen afhjælpende foranstaltninger truffet

Mere end otte timer efter, at sikkerhedsbruddet først blev rapporteret, har Triple-A endnu ikke udsendt en officiel erklæring, der bekræfter angrebet eller beskriver, hvilke kundemidler, der eventuelt er blevet berørt. Tavsheden efterlader ubesvarede spørgsmål om, hvorvidt forhandlere, der bruger Triple-A's betalingssystemer, har oplevet afbrydelser i afregningen, og om virksomheden har tilstrækkelige reserver til at dække de berørte brugeres tab.

I løbet af de kommende timer vil sikkerhedsforskere sandsynligvis fortsætte med at overvåge den samlede Ethereum-adresse for tegn på, at angriberen flytter midlerne over til centraliserede børser eller en mixing-tjeneste – et skridt, der kan give efterforskerne en chance for at spore tegnebogen, inden udbyttet udbetales.