ארנקים חמים בדירוג Triple-A נוקזו בסכום של 9.7 מיליון דולר על פני שש רשתות: הנה מה ש‑PeckShield מצאה

חוקר Onchain סימן את הפריצה ראשון

חוקר ה-Onchain בשם Specter דיווח לראשונה על התקרית. לפי התראת Peckshield שפורסמה בשבת, ארנקים המקושרים ל-Triple-A, שער תשלומים מפיאט לקריפטו שמבוסס בסינגפור, רוקנו מכספים על פני Ethereum, Tron, Polygon, Arbitrum, Solana ו-The Open Network (TON).

Triple-A מפעילה תשתית תשלומים שמאפשרת לסוחרים לקבל מטבעות קריפטו ולהתחשב בפיאט, כלומר הארנקים החמים שלה מחזיקים מאגר מתחלף של כספי לקוחות וסטייבלקוינים נזילים כדי לעבד עסקאות במהירות. ארנקים חמים נשארים מחוברים לאינטרנט למען מהירות, פשרה שהופכת אותם לחשופים יותר מאשר אחסון קר (cold storage) שאינו מקוון.

נתוני Onchain שנבחנו על ידי חוקרי אבטחה מראים שהתוקף המיר סטייבלקוינים שנגנבו ונכסים נזילים אחרים בבורסות מבוזרות לפני שגישר את התמורה לאת’ריום. הכספים הגיעו לכתובת יחידה שמתחילה ב-0x01F8, שהחזיקה כ-5,227 ETH, בשווי של כ-9.7 מיליון דולר, נכון לשבת.

הארנק המרוכז קיבל את הנכסים הגנובים בכמה מנות (tranches) ולא בהעברה אחת מרוכזת, מהלך שעולה בקנה אחד עם גורמים זדוניים מהעבר שפעלו באופן שיטתי להמרת נכסים על פני מספר רשתות לפני שקיבצו אותם מחדש.

לבסוף, ראוי לציין כי Peckshield סימנה בעבר ריכוז דומה באמצעות גישור לאת’ריום, כולל ניצול חשוד שבו הוגשרו 5.25 מיליון דולר מהדרה (Hedera) לאת’ריום רק לפני כמה שבועות.

תבנית מוכרת עבור תשתיות תשלומים

Triple-A מצטרפת לרשימה הולכת וגדלה של מעבדי תשלומי קריפטו ובורסות שהיו יעד לפשרות בארנקים חמים השנה. מתקפות על חברות תשתית Web3 נוטות לעיתים קרובות לעקוב אחר מסלול דומה, כלומר התוקפים משיגים גישה למפתחות הפרטיים של ארנק חם או לחוזה חכם שמוגדר בצורה שגויה, מרוקנים במהירות נכסים נזילים, ואז מלבינים את התמורה באמצעות בורסות מבוזרות (DEXs) וגשרים בין-רשתיים לפני שפלטפורמות מרכזיות יכולות להקפיא את הכספים.

תוכנית פעולה זהה כמעט נצפתה כאשר Gravity Bridge רוקן מ-5.4 מיליון דולר במאי, כאשר התוקף ניתב את הכספים הגנובים דרך Binance כדי לטשטש את העקבות. מעבר לכך, ענקית אבטחת הסייבר מצאה שהענף איבד 75.87 מיליון דולר ל-40 פריצות נפרדות רק במהלך יוני, ירידה של 7.13% מ-81.7 מיליון הדולר של מאי (כאשר פשרות בארנקים חמים נותרו בין וקטורי התקיפה הנפוצים ביותר לצד באגים בחוזים חכמים ודליפות של מפתחות פרטיים).

לא ננקטו צעדים מתקנים

יותר משמונה שעות לאחר שהפריצה סומנה לראשונה, Triple-A עדיין לא פרסמה הודעה רשמית שמכירה בניצול או מפרטת אילו כספי לקוחות, אם בכלל, הושפעו. השתיקה משאירה שאלות פתוחות לגבי האם סוחרים המשתמשים במסילות התשלום של Triple-A חוו הפרעה כלשהי בהתחשבנות, והאם לחברה יש עתודות מספיקות כדי להשיב את המצב לקדמותו עבור משתמשים שנפגעו.

במהלך השעות הקרובות, חוקרי אבטחה ככל הנראה ימשיכו לעקוב אחר כתובת האת’ריום המרוכזת כדי לזהות סימנים לכך שהתוקף מעביר כספים לעבר בורסות מרכזיות או שירות ערבוב (mixing), צעד שעשוי להעניק לחוקרים הזדמנות לסמן את הארנק לפני שהתמורה תימשך.