Kuuest plokiahelast varastati Triple-A-kategooria kuumadest rahakottidest 9,7 miljonit dollarit: siin on Peckshieldi avastused

Onchaini uurija märkas rikkumist esimesena

Onchain-uurija Specter teatas juhtumist esimesena. Laupäeval avaldatud Peckshieldi hoiatuse kohaselt olid Singapuris asuva fiat-kryptovaluuta maksevärava Triple-A-ga seotud rahakotid tühjendatud Ethereumi, Troni, Polygoni, Arbitrumi, Solana ja The Open Networki (TON) võrkudes.

Triple-A haldab makseinfrastruktuuri, mis võimaldab kaupmeestel vastu võtta krüptovaluutat ja arveldada fiat-valuutas, mis tähendab, et selle kuumad rahakotid hoiavad kliendi rahalisi vahendeid ja likviidseid stabiilseid müntide vahelduvat reservi, et tehinguid kiiresti töödelda. Kiiruse tagamiseks on kuumad rahakotid pidevalt internetiga ühendatud – see kompromiss muudab need haavatavamaks kui võrguvälised külmhoidlad.

Turvauurijate poolt läbi vaadatud on-chain-andmed näitavad, et ründaja vahetas varastatud stabiilseid krüptovaluutasid ja muid likviidseid varasid detsentraliseeritud börsidel, enne kui kandis saadud tulu Ethereumi. Rahad jõudsid ühele aadressile, mis algab numbritega 0x01F8 ja millel oli laupäeva seisuga umbes 5 227 ETH, väärtusega ligikaudu 9,7 miljonit dollarit.

Konsolideeritud rahakott sai varastatud varad mitmes osas, mitte ühe suure ülekandena – see samm on kooskõlas varasemate kuritegelike tegutsejate tegevusega, kes konverteerisid varasid metoodiliselt mitme ahela vahel enne nende ümberpaigutamist.

Lõpetuseks väärib mainimist, et Peckshield on varemgi märkinud sarnaseid Ethereumi suunas suunatud konsolideerimisi, sealhulgas kahtlustatavat turvaauku, mille kaudu suunati vaid paar nädalat tagasi 5,25 miljonit dollarit Hederast Ethereumi.

Maksete infrastruktuurile tuttav muster

Triple-A liitub üha kasvava nimekirjaga krüptomaksete töötlejaid ja vahetusplatvorme, mis on sel aastal olnud kuumade rahakottide rünnakute sihtmärgiks. Rünnakud Web3-infrastruktuuri ettevõtetele kulgevad sageli sarnaselt: ründajad saavad juurdepääsu kuuma rahakoti privaatvõtmetele või valesti konfigureeritud nutilepingule, tühjendavad likviidsed varad kiiresti ning pesevad saadud tulu detsentraliseeritud börside (DEX) ja ahelatevaheliste sildade kaudu enne, kui tsentraliseeritud platvormid saavad vahendid külmutada.

Täpselt sama skeemi nägime ka mais, kui Gravity Bridge’ist võeti ära 5,4 miljonit dollarit, kusjuures ründaja suunas varastatud raha läbi Binance’i, et jälgi varjata. Lisaks sellele on küberturvalisuse hiiglane tuvastanud, et tööstus kaotas ainuüksi juunis 40 eraldi häkkimise tagajärjel 75,87 miljonit dollarit, mis on 7,13% langus võrreldes mai 81,7 miljoni dollariga (kusjuures kuumade rahakottide rikkumised jäävad kõige levinumate rünnakuvektorite hulka koos nutilepingute veadega ja privaatvõtmete lekkedega).

Parandusmeetmeid ei ole võetud

Rohkem kui kaheksa tundi pärast seda, kui rikkumisest esmakordselt teada anti, ei ole Triple-A veel avaldanud ametlikku avaldust, milles tunnistataks rünnakut või täpsustataks, millised klientide rahalised vahendid (kui üldse) said kahjustada. See vaikimine jätab lahtiseks küsimuse, kas Triple-A maksekanaleid kasutavad kaupmehed kogesid arveldustes häireid ning kas ettevõttel on piisavalt reserve, et kahjustatud kasutajad saaksid oma raha tagasi.

Järgmise paari tunni jooksul jälgivad turvalisuse uurijad tõenäoliselt jätkuvalt konsolideeritud Ethereumi aadressi, et leida märke sellest, et ründaja suunab vahendeid tsentraliseeritud börsidele või segamisteenusesse – see samm võiks anda uurijatele võimaluse rahakoti märgistada enne, kui saadud tulu välja võetakse.