Aus „Triple-A“-Hot-Wallets von sechs Ketten wurden 9,7 Millionen Dollar abgezogen: Das hat Peckshield herausgefunden

Onchain-Ermittler meldet den Vorfall als Erster

Der On-Chain-Ermittler Specter meldete den Vorfall als Erster. Laut einer am Samstag veröffentlichten Warnmeldung von Peckshield waren Wallets, die mit Triple-A – einem in Singapur ansässigen Zahlungsgateway für den Umtausch von Fiat-Währungen in Kryptowährungen – in Verbindung stehen, über Ethereum, Tron, Polygon, Arbitrum, Solana und The Open Network (TON) leergeräumt worden.

Triple-A betreibt eine Zahlungsinfrastruktur, die es Händlern ermöglicht, Kryptowährungen zu akzeptieren und Abrechnungen in Fiat-Währung vorzunehmen. Das bedeutet, dass seine Hot Wallets einen rotierenden Pool aus Kundengeldern und liquiden Stablecoins enthalten, um Transaktionen schnell abzuwickeln. Hot Wallets bleiben aus Gründen der Geschwindigkeit mit dem Internet verbunden – ein Kompromiss, der sie anfälliger macht als Offline-Cold-Storage-Lösungen.

Von Sicherheitsforschern ausgewertete On-Chain-Daten zeigen, dass der Angreifer gestohlene Stablecoins und andere liquide Vermögenswerte auf dezentralen Börsen umgetauscht hat, bevor er die Erlöse auf Ethereum übertrug. Die Gelder landeten auf einer einzigen Adresse, die mit 0x01F8 beginnt und am Samstag rund 5.227 ETH im Wert von etwa 9,7 Millionen US-Dollar enthielt.

Die Sammel-Wallet erhielt die gestohlenen Vermögenswerte in mehreren Tranchen statt in einer einzigen Überweisung – ein Vorgehen, das mit früheren Vorgehensweisen böswilliger Akteure übereinstimmt, die Vermögenswerte systematisch über mehrere Blockchains hinweg umwandelten, bevor sie diese neu bündelten.

Abschließend sei erwähnt, dass Peckshield bereits zuvor ähnliche Konsolidierungen über Brücken nach Ethereum gemeldet hat, darunter einen mutmaßlichen Exploit, bei dem vor wenigen Wochen 5,25 Millionen US-Dollar von Hedera nach Ethereum überbrückt wurden.

Ein bekanntes Muster für die Zahlungsinfrastruktur

Triple-A reiht sich in eine wachsende Liste von Krypto-Zahlungsabwicklern und Börsen ein, die in diesem Jahr Ziel von Angriffen auf Hot Wallets wurden. Angriffe auf Web3-Infrastrukturunternehmen verlaufen oft nach einem ähnlichen Muster: Angreifer verschaffen sich Zugriff auf die privaten Schlüssel einer Hot Wallet oder einen falsch konfigurierten Smart Contract, entziehen schnell liquide Vermögenswerte und waschen die Erlöse anschließend über dezentrale Börsen (DEXs) und kettenübergreifende Brücken, bevor zentralisierte Plattformen die Gelder einfrieren können.

Ein identisches Vorgehen war zu beobachten, als im Mai 5,4 Millionen US-Dollar von der Gravity Bridge abgezogen wurden, wobei der Angreifer die gestohlenen Gelder über Binance leitete, um die Spur zu verwischen. Darüber hinaus hat der Cybersicherheitsriese festgestellt, dass der Branche allein im Juni durch 40 separate Hackerangriffe 75,87 Millionen US-Dollar verloren gingen – ein Rückgang um 7,13 % gegenüber den 81,7 Millionen US-Dollar im Mai (wobei Kompromittierungen von Hot Wallets neben Fehlern in Smart Contracts und dem Verlust privater Schlüssel weiterhin zu den häufigsten Angriffsvektoren zählen).

Keine Abhilfemaßnahmen ergriffen

Mehr als acht Stunden, nachdem der Angriff erstmals gemeldet wurde, hat Triple-A noch keine offizielle Stellungnahme veröffentlicht, in der der Angriff bestätigt oder detailliert dargelegt wird, welche Kundengelder – falls überhaupt – betroffen sind. Das Schweigen lässt Fragen offen, ob Händler, die die Zahlungssysteme von Triple-A nutzen, Störungen bei der Abwicklung erfahren haben und ob das Unternehmen über ausreichende Reserven verfügt, um betroffene Nutzer vollständig zu entschädigen.

In den kommenden Stunden werden Sicherheitsforscher wahrscheinlich weiterhin die konsolidierte Ethereum-Adresse auf Anzeichen dafür überwachen, dass der Angreifer Gelder an zentralisierte Börsen oder einen Mixing-Dienst weiterleitet – ein Schritt, der den Ermittlern die Möglichkeit bieten könnte, die Wallet zu kennzeichnen, bevor die Erlöse ausgezahlt werden.