Portafogli “hot” con rating AAA svuotati di 9,7 milioni di dollari in sei catene: ecco cosa ha scoperto Peckshield

Un investigatore on-chain segnala per primo la violazione

L’investigatore on-chain Specter ha segnalato per primo l’incidente. Secondo un avviso di Peckshield pubblicato sabato, i portafogli collegati a Triple-A, un gateway di pagamento da valuta fiat a criptovaluta con sede a Singapore, sono stati svuotati dei fondi su Ethereum, Tron, Polygon, Arbitrum, Solana e The Open Network (TON).

Triple-A gestisce un’infrastruttura di pagamento che consente ai commercianti di accettare criptovalute e di effettuare il regolamento in valuta fiat; ciò significa che i suoi portafogli “caldi” contengono un pool rotante di fondi dei clienti e stablecoin liquide per elaborare rapidamente le transazioni. I portafogli “caldi” rimangono connessi a Internet per garantire la velocità, un compromesso che li rende più esposti rispetto allo storage “freddo” offline.

I dati on-chain analizzati dai ricercatori di sicurezza mostrano che l’autore dell’attacco ha scambiato le stablecoin rubate e altre attività liquide su exchange decentralizzati prima di trasferire i proventi su Ethereum. I fondi sono finiti in un unico indirizzo che inizia con 0x01F8, che sabato deteneva circa 5.227 ETH, per un valore di circa 9,7 milioni di dollari.

Il portafoglio consolidato ha ricevuto le risorse rubate in diverse tranche anziché in un unico trasferimento forfettario, una mossa in linea con quella adottata in passato da malintenzionati che convertivano metodicamente le risorse su più catene prima di raggrupparle.

Infine, vale la pena ricordare che Peckshield ha già segnalato in precedenza casi simili di consolidamento tramite bridge verso Ethereum, tra cui un presunto exploit che ha visto il trasferimento di 5,25 milioni di dollari da Hedera a Ethereum solo un paio di settimane fa.

Un modello familiare per le infrastrutture di pagamento

Triple-A si aggiunge a un elenco sempre più lungo di processori di pagamenti in criptovaluta ed exchange presi di mira quest’anno per violazioni di hot wallet. Gli attacchi alle aziende che gestiscono infrastrutture Web3 seguono spesso un andamento simile: gli aggressori ottengono l’accesso alle chiavi private di un hot wallet o a uno smart contract configurato in modo errato, prosciugano rapidamente le risorse liquide, quindi riciclano i proventi attraverso exchange decentralizzati (DEX) e bridge cross-chain prima che le piattaforme centralizzate possano congelare i fondi.

Si è assistito a uno schema identico quando, a maggio, il Gravity Bridge è stato svuotato di 5,4 milioni di dollari, con l’autore dell’attacco che ha instradato i fondi rubati attraverso Binance per nascondere le tracce. Non solo: il gigante della sicurezza informatica ha rilevato che il settore ha subito perdite pari a 75,87 milioni di dollari a causa di 40 attacchi distinti nel solo mese di giugno, con un calo del 7,13% rispetto agli 81,7 milioni di dollari registrati a maggio (con le violazioni degli hot wallet che rimangono tra i vettori di attacco più comuni, insieme ai bug degli smart contract e alle fughe di chiavi private).

Nessuna misura correttiva adottata

A più di otto ore dalla prima segnalazione della violazione, Triple-A non ha ancora rilasciato una dichiarazione ufficiale in cui riconosca l’attacco o specifichi quali fondi dei clienti, se ce ne sono stati, siano stati colpiti. Il silenzio lascia aperte alcune domande: i commercianti che utilizzano i canali di pagamento di Triple-A hanno subito interruzioni nei pagamenti? E l’azienda dispone di riserve sufficienti per risarcire integralmente gli utenti colpiti?

Nelle prossime ore, i ricercatori di sicurezza continueranno probabilmente a monitorare l’indirizzo Ethereum consolidato alla ricerca di segnali che indichino che l’autore dell’attacco stia trasferendo i fondi verso exchange centralizzati o un servizio di mixing, una mossa che potrebbe offrire agli investigatori la possibilità di segnalare il wallet prima che i proventi vengano incassati.