9,7 miljoen dollar gestolen uit Triple-A Hot Wallets bij zes blockchains: dit is wat Peckshield heeft ontdekt

Onchain-onderzoeker signaleert de inbreuk als eerste

Onchain-onderzoeker Specter meldde het incident als eerste. Volgens een zaterdag gepubliceerde waarschuwing van Peckshield waren de middelen uit wallets die gekoppeld zijn aan Triple-A, een in Singapore gevestigde betalingsgateway voor fiat-naar-crypto, gestolen via Ethereum, Tron, Polygon, Arbitrum, Solana en The Open Network (TON).

Triple-A beheert een betalingsinfrastructuur waarmee handelaren cryptovaluta kunnen accepteren en in fiatvaluta kunnen afrekenen, wat betekent dat de hot wallets een roulerende pool van klantgelden en liquide stablecoins bevatten om transacties snel te verwerken. Hot wallets blijven voor de snelheid verbonden met het internet, een afweging die ze kwetsbaarder maakt dan offline cold storage.

Onchain-gegevens die door beveiligingsonderzoekers zijn geanalyseerd, tonen aan dat de aanvaller gestolen stablecoins en andere liquide activa op gedecentraliseerde beurzen heeft verhandeld, alvorens de opbrengsten naar Ethereum over te hevelen. Het geld kwam terecht op één enkel adres dat begint met 0x01F8, waarop zaterdag ongeveer 5.227 ETH stond, ter waarde van zo’n 9,7 miljoen dollar.

De geconsolideerde wallet ontving de gestolen activa in verschillende tranches in plaats van één keer in één keer, een aanpak die overeenkomt met die van kwaadwillende actoren uit het verleden die methodisch activa over meerdere ketens omzetten alvorens ze te hergroeperen.

Tot slot is het vermeldenswaard dat Peckshield al eerder soortgelijke consolidaties via een bridge naar Ethereum heeft gesignaleerd, waaronder een vermoedelijke exploit waarbij slechts een paar weken geleden 5,25 miljoen dollar van Hedera naar Ethereum werd overgeheveld.

Een bekend patroon voor betalingsinfrastructuur

Triple-A voegt zich bij een groeiende lijst van cryptobetalingsverwerkers en -beurzen die dit jaar het doelwit zijn geweest van aanvallen op hot wallets. Aanvallen op Web3-infrastructuurbedrijven volgen vaak een vergelijkbaar patroon: aanvallers verkrijgen toegang tot de privésleutels van een hot wallet of een verkeerd geconfigureerd smart contract, halen liquide activa snel weg en witwassen de opbrengsten vervolgens via gedecentraliseerde beurzen (DEX’s) en cross-chain-bruggen voordat gecentraliseerde platforms de fondsen kunnen bevriezen.

Een identiek scenario deed zich voor toen in mei 5,4 miljoen dollar uit de Gravity Bridge werd weggesluisd, waarbij de aanvaller de gestolen middelen via Binance leidde om het spoor te verdoezelen. Niet alleen dat: de cyberbeveiligingsgigant heeft vastgesteld dat de sector alleen al in juni 75,87 miljoen dollar verloor door 40 afzonderlijke hacks, een daling van 7,13% ten opzichte van de 81,7 miljoen dollar in mei (waarbij inbreuken op hot wallets naast bugs in smart contracts en het lekken van privésleutels tot de meest voorkomende aanvalsvectoren blijven behoren).

Geen corrigerende maatregelen genomen

Meer dan acht uur nadat de inbreuk voor het eerst werd gesignaleerd, heeft Triple-A nog geen officiële verklaring afgegeven waarin de aanval wordt erkend of waarin wordt toegelicht welke klantgelden, indien van toepassing, zijn getroffen. Deze stilte roept vragen op over de vraag of handelaren die gebruikmaken van de betalingssystemen van Triple-A verstoringen bij de afwikkeling hebben ondervonden, en of het bedrijf over voldoende reserves beschikt om de getroffen gebruikers schadeloos te stellen.

De komende uren zullen beveiligingsonderzoekers waarschijnlijk het geconsolideerde Ethereum-adres blijven volgen op tekenen dat de aanvaller geld overmaakt naar gecentraliseerde beurzen of een mixing-dienst, een stap die onderzoekers de kans zou kunnen bieden om de wallet te markeren voordat de opbrengsten worden uitbetaald.