Kuuden ketjun AAA-luokan hot-lompakoista tyhjennettiin 9,7 miljoonaa dollaria: tässä Peckshieldin havainnot

Onchain-tutkija ilmoitti tietomurrosta ensimmäisenä

Onchain-tutkija Specter ilmoitti tapahtumasta ensimmäisenä. Lauantaina julkaistun Peckshieldin hälytyksen mukaan varat oli tyhjennetty Triple-A:han, singaporelaiselle fiat-kryptovaluutta-maksuportaalille, liittyvistä lompakoista Ethereum-, Tron-, Polygon-, Arbitrum-, Solana- ja The Open Network (TON) -verkostoissa.

Triple-A ylläpitää maksuinfrastruktuuria, jonka avulla kauppiaat voivat hyväksyä kryptovaluuttaa ja suorittaa maksut fiat-valuutassa. Tämä tarkoittaa, että sen hot-lompakoissa on kiertävä varanto asiakkaan varoja ja likvidejä stablecoineja, jotta maksutapahtumat voidaan käsitellä nopeasti. Hot-lompakot pysyvät yhteydessä internetiin nopeuden vuoksi, mikä on kompromissi, joka altistaa ne suuremmalle riskille kuin offline-tilassa olevat cold-lompakot.

Turvallisuustutkijoiden tarkastamat ketjutiedot osoittavat, että hyökkääjä vaihtoi varastetut stablecoinit ja muut likvidit varat hajautetuilla pörsseillä ennen kuin siirsi saaliin Ethereumiin. Varat päätyivät yhteen osoitteeseen, joka alkoi numerolla 0x01F8 ja jossa oli lauantaina noin 5 227 ETH:ta, arvoltaan noin 9,7 miljoonaa dollaria.

Konsolidoitu lompakko vastaanotti varastetut varat useina erinä yhden kertasiirron sijaan, mikä on tyypillistä aiemmille pahantahtoisille toimijoille, jotka ovat järjestelmällisesti muuntaneet varoja useiden ketjujen välillä ennen niiden uudelleenryhmittelyä.

Lopuksi on syytä mainita, että Peckshield on aiemminkin havainnut vastaavia varojen siirtoja Ethereumiin, mukaan lukien epäillyn hyökkäyksen, jossa 5,25 miljoonaa dollaria siirrettiin Hederasta Ethereumiin vain pari viikkoa sitten.

Tuttu kaava maksujärjestelmissä

Triple-A liittyy kasvavaan joukkoon kryptomaksujen käsittelijöitä ja pörssejä, jotka ovat joutuneet tänä vuonna kuumien lompakoiden murtojen kohteeksi. Hyökkäykset Web3-infrastruktuuriyrityksiä vastaan etenevät usein samankaltaisesti: hyökkääjät pääsevät käsiksi kuuman lompakon yksityisiin avaimiin tai väärin konfiguroituun älykkääseen sopimukseen, tyhjentävät likvidit varat nopeasti ja pesevät saadut varat hajautettujen pörssien (DEX) ja ketjujen välisten siltojen kautta ennen kuin keskitetyt alustat ehtivät jäädyttää varat.

Täsmälleen samanlainen toimintamalli nähtiin, kun Gravity Bridgesta tyhjennettiin 5,4 miljoonaa dollaria toukokuussa, jolloin hyökkääjä ohjasi varastetut varat Binancen kautta jälkien peittämiseksi. Tämän lisäksi kyberturvallisuusjätti on havainnut, että ala menetti pelkästään kesäkuussa 75,87 miljoonaa dollaria 40 erillisessä hakkerointitapauksessa, mikä on 7,13 %:n lasku toukokuun 81,7 miljoonasta dollarista (kuumien lompakoiden murrot ovat edelleen yleisimpiä hyökkäysvektoreita älykkäiden sopimusten virheiden ja yksityisten avainten vuotojen ohella).

Korjaavia toimenpiteitä ei ole toteutettu

Yli kahdeksan tuntia sen jälkeen, kun tietomurto havaittiin ensimmäisen kerran, Triple-A ei ole vieläkään julkaissut virallista lausuntoa, jossa se tunnustaisi hyökkäyksen tai kertoisi tarkemmin, mitkä asiakkaan varat, jos mitään, ovat vaarantuneet. Hiljaisuus jättää avoimeksi kysymyksen siitä, kokivatko Triple-A:n maksujärjestelmiä käyttävät kauppiaat häiriöitä maksujen käsittelyssä, ja onko yhtiöllä riittävät varat korvaamaan vahinkoa kärsineille käyttäjille.

Seuraavien tuntien aikana tietoturvatutkijat jatkavat todennäköisesti konsolidoidun Ethereum-osoitteen seurantaa etsiäkseen merkkejä siitä, että hyökkääjä siirtää varoja keskitettyihin pörsseihin tai sekoituspalveluun – tämä voisi tarjota tutkijoille mahdollisuuden merkitä lompakko ennen kuin saadut varat nostetaan.