Peckshield: 5,25 miljoen dollar is bij Hedera weggehaald en via een bridge naar Ethereum overgeheveld in een vermoedelijke exploit

De cijfers komen eindelijk naar buiten

Peckshield meldde dat het Hedera-netwerk was misbruikt, daarbij verwijzend naar bevindingen die voor het eerst aan het licht waren gebracht door beveiligingsanalist Specter. Volgens de waarschuwing is er al voor 5,25 miljoen dollar aan gestolen middelen overgeheveld van het mainnet van Hedera naar Ethereum.

De aanvaller had zijn wallet oorspronkelijk gevuld met 1 ETH afkomstig van Tornado Cash, een mixing-dienst die het spoor van cryptotransacties verdoezelt. De wallet bevat nu ongeveer 2.360 ETH ter waarde van 4,25 miljoen dollar en 15,58 wrapped bitcoin (WBTC), een tokenversie van bitcoin die op Ethereum wordt verhandeld, met een waarde van bijna 1 miljoen dollar.

Hedera heeft het incident tot nu toe niet publiekelijk bevestigd en de volledige omvang van de diefstal, afgezien van de overgebrugde middelen, blijft onduidelijk. HBAR, het native token van het netwerk, noteerde op 11 juli bijna 0,07 dollar, een daling van bijna 3% in de afgelopen 24 uur.

De gematigde prijsreactie lijkt erop te wijzen dat de situatie nog in een vroeg stadium verkeert, aangezien noch de aanvalsvector, noch de getroffen applicaties publiekelijk zijn geïdentificeerd, en het nog niet bekend is of gebruikersaccounts of liquiditeit op protocolniveau het verlies hebben geleden.

Een al vaker gezien draaiboek

Het patroon waarbij een wallet via een mixer wordt gevuld, de aanval wordt uitgevoerd en de buit vervolgens via een bridge naar Ethereum wordt overgeheveld, is de afgelopen jaren een standaardaanpak geworden. In feite bedroeg de schade door misbruik van cross-chain bridges in de eerste vijf maanden van het jaar meer dan $328 miljoen, waarbij Bitcoin.com News de afgelopen maand verscheidene van dergelijke incidenten heeft gemeld. Onlangs heeft een aanvaller 11,5 miljoen dollar aan gestolen Verus-activa omgezet in ether met behulp van een vrijwel identieke Tornado Cash-opstelling.

Het is ook niet het eerste beveiligingsincident bij Hedera, aangezien aanvallers in maart 2023 misbruik maakten van de smart contract-service van het netwerk om liquiditeitspool-tokens weg te sluizen van gedecentraliseerde beurzen, waaronder Saucerswap, Pangolin en Heliswap. Die aanval leverde minder dan 600.000 dollar op, en het netwerk bracht binnen 41 uur na ontdekking een oplossing uit – een reactietijd waaraan de huidige situatie zal worden afgemeten.

De komende dagen zullen alle ogen gericht zijn op het team van Hedera en hoe het met de situatie omgaat, vooral omdat ze het beveiligingslek nog niet eens hebben bevestigd. Bovendien zal het interessant zijn om te zien of de aanvaller de 2.360 ETH via Tornado Cash gaat terugleiden. Tot die tijd staat de 5,25 miljoen dollar in een wallet die elke on-chain-speurder in de sector nu nauwlettend in de gaten houdt.