کیف‌پول‌های داغ تریپل-اِی در شش زنجیره از ۹.۷ میلیون دلار خالی شدند: آنچه PeckShield کشف کرد

پژوهشگر آن‌چین نخستین‌بار رخنه را گزارش کرد

پژوهشگر آن‌چین «Specter» نخستین بار این حادثه را گزارش کرد. طبق یک هشدار Peckshield که شنبه منتشر شد، کیف‌پول‌های مرتبط با Triple-A، درگاه پرداخت فیات به کریپتو مستقر در سنگاپور، در شبکه‌های اتریوم، ترون، پالیگان، آربیتروم، سولانا و شبکه اوپن نتورک (TON) تخلیه شده‌اند.

Triple-A زیرساخت پرداختی را راهبری می‌کند که به پذیرندگان امکان می‌دهد ارز دیجیتال بپذیرند و تسویه را به ارز فیات انجام دهند؛ به این معنا که کیف‌پول‌های گرم آن یک موجودی چرخشی از وجوه مشتریان و استیبل‌کوین‌های نقدشونده را برای پردازش سریع تراکنش‌ها نگه می‌دارند. کیف‌پول‌های گرم برای سرعت به اینترنت متصل می‌مانند؛ مصالحه‌ای که آن‌ها را نسبت به ذخیره‌سازی سردِ آفلاین در معرض ریسک بیشتری قرار می‌دهد.

داده‌های آن‌چین که توسط پژوهشگران امنیتی بررسی شده نشان می‌دهد مهاجم استیبل‌کوین‌های سرقت‌شده و سایر دارایی‌های نقد را در صرافی‌های غیرمتمرکز سواپ کرده و سپس عواید را به اتریوم بریج کرده است. این وجوه از روز شنبه به یک آدرس واحد با ابتدای 0x01F8 منتقل شد؛ آدرسی که تا شنبه حدود ۵٬۲۲۷ ETH، به ارزش تقریبی ۹.۷ میلیون دلار، در خود داشت.

کیف‌پول تجمیع‌کننده دارایی‌های سرقت‌شده را در چند مرحله دریافت کرده، نه در قالب یک انتقال یک‌باره؛ اقدامی که با الگوی بازیگران مخرب در گذشته هم‌خوان است که به‌صورت نظام‌مند دارایی‌ها را در چندین شبکه تبدیل می‌کنند و سپس آن‌ها را دوباره در یک نقطه جمع می‌کنند.

در پایان، بد نیست اشاره شود که Peckshield پیش‌تر نیز موارد مشابه تجمیع از طریق بریج به اتریوم را علامت‌گذاری کرده است؛ از جمله یک بهره‌برداریِ مشکوک که طی آن ۵.۲۵ میلیون دلار تنها چند هفته پیش از هدرا به اتریوم بریج شد.

الگویی آشنا برای زیرساخت پرداخت

Triple-A به فهرست رو‌به‌افزایش پردازشگران پرداخت کریپتو و صرافی‌هایی می‌پیوندد که امسال هدف مصالحه/نفوذ به کیف‌پول گرم قرار گرفته‌اند. حملات به شرکت‌های زیرساختی Web3 اغلب مسیر مشابهی را طی می‌کنند؛ یعنی مهاجمان به کلیدهای خصوصی یک کیف‌پول گرم یا یک قرارداد هوشمندِ بدپیکربندی‌شده دسترسی پیدا می‌کنند، دارایی‌های نقد را به‌سرعت تخلیه می‌کنند، سپس عواید را از طریق صرافی‌های غیرمتمرکز (DEX) و بریج‌های بین‌زنجیره‌ای پول‌شویی می‌کنند، پیش از آن‌که پلتفرم‌های متمرکز بتوانند وجوه را مسدود کنند.

نمونه‌ای آینه‌وار و با همان کتابچه راهنما زمانی دیده شد که Gravity Bridge به میزان ۵.۴ میلیون دلار تخلیه شد در ماه مه، و مهاجم برای مبهم‌کردن مسیر، وجوه سرقت‌شده را از طریق بایننس هدایت کرد. علاوه بر این، این غول امنیت سایبری دریافته است که صنعت تنها در ماه ژوئن ۷۵.۸۷ میلیون دلار را در ۴۰ هک جداگانه از دست داده است؛ کاهشی ۷.۱۳ درصدی نسبت به ۸۱.۷ میلیون دلارِ ماه مه (در حالی که مصالحه‌های کیف‌پول گرم همچنان در کنار باگ‌های قرارداد هوشمند و افشای کلید خصوصی از رایج‌ترین بردارهای حمله باقی مانده‌اند).

هیچ اقدام اصلاحی انجام نشده است

بیش از هشت ساعت پس از آن‌که رخنه نخستین بار علامت‌گذاری شد، Triple-A هنوز بیانیه رسمی‌ای برای تأیید بهره‌برداری یا توضیح این‌که آیا وجوه مشتریان تحت تأثیر قرار گرفته‌اند یا نه منتشر نکرده است. این سکوت پرسش‌هایی را باز می‌گذارد؛ از جمله این‌که آیا پذیرندگانی که از ریل‌های پرداخت Triple-A استفاده می‌کنند با اختلالی در تسویه مواجه شده‌اند یا نه، و این‌که آیا شرکت ذخایر کافی برای جبران کاربران آسیب‌دیده دارد یا خیر.

در چند ساعت آینده، پژوهشگران امنیتی احتمالاً به رصد آدرس تجمیع‌شده در اتریوم ادامه می‌دهند تا نشانه‌هایی ببینند که مهاجم وجوه را به سمت صرافی‌های متمرکز یا یک سرویس میکسینگ منتقل می‌کند؛ اقدامی که می‌تواند فرصتی برای محققان فراهم کند تا پیش از نقد شدن عواید، کیف‌پول را علامت‌گذاری کنند.