Portofelele „hot” cu rating AAA au fost golite de 9,7 milioane de dolari în cadrul a șase lanțuri: iată ce a descoperit Peckshield

Un investigator on-chain a semnalat primul breșa

Anchetatorul Onchain Specter a raportat primul incidentul. Conform unei alerte Peckshield publicate sâmbătă, portofelele legate de Triple-A, o platformă de plăți fiat-cryptocurrency cu sediul în Singapore, au fost golite de fonduri pe rețelele Ethereum, Tron, Polygon, Arbitrum, Solana și The Open Network (TON).

Triple-A operează o infrastructură de plăți care permite comercianților să accepte criptomonede și să efectueze decontări în monedă fiduciară, ceea ce înseamnă că portofelele sale „calde” dețin un fond rotativ de fonduri ale clienților și stablecoin-uri lichide pentru a procesa rapid tranzacțiile. Portofelele „calde” rămân conectate la internet pentru a asigura viteza, un compromis care le face mai expuse decât stocarea „rece” offline.

Datele on-chain analizate de cercetătorii în securitate arată că atacatorul a schimbat stablecoin-urile furate și alte active lichide pe burse descentralizate înainte de a transfera veniturile către Ethereum. Fondurile au ajuns la o singură adresă care începe cu 0x01F8, care deținea aproximativ 5.227 ETH, în valoare de circa 9,7 milioane de dolari, conform datelor de sâmbătă.

Portofelul consolidat a primit activele furate în mai multe tranșe, nu printr-un singur transfer, o mișcare care este în concordanță cu tactica actorilor rău intenționați din trecut, implicați în conversia metodică a activelor pe mai multe lanțuri înainte de a le regrupa.

În cele din urmă, merită menționat faptul că Peckshield a semnalat și anterior consolidări similare prin transferuri către Ethereum, inclusiv o presupusă vulnerabilitate exploatată prin care 5,25 milioane de dolari au fost transferați de la Hedera la Ethereum cu doar câteva săptămâni în urmă.

Un model familiar pentru infrastructura de plăți

Triple-A se alătură unei liste tot mai lungi de procesatori de plăți și burse de criptomonede care au fost ținta unor atacuri asupra portofelelor „hot” în acest an. Atacurile asupra firmelor de infrastructură Web3 urmează adesea un scenariu similar, și anume: atacatorii obțin acces la cheile private ale unui portofel „hot” sau la un contract inteligent configurat greșit, retrag rapid activele lichide, apoi spală veniturile prin burse descentralizate (DEX) și poduri inter-lanțuri înainte ca platformele centralizate să poată îngheța fondurile.

Un scenariu identic a fost observat când Gravity Bridge a fost golit de 5,4 milioane de dolari în luna mai, atacatorul redirecționând fondurile furate prin Binance pentru a ascunde urmele. Nu numai atât, gigantul din domeniul securității cibernetice a constatat că industria a pierdut 75,87 milioane de dolari în urma a 40 de atacuri separate doar în luna iunie, o scădere de 7,13% față de suma de 81,7 milioane de dolari înregistrată în luna mai (compromiterea portofelelor „hot” rămânând printre cei mai comuni vectori de atac, alături de erorile din contractele inteligente și scurgerile de chei private).

Nu s-au luat măsuri corective

La mai mult de opt ore de la semnalarea inițială a breșei, Triple-A nu a emis încă o declarație oficială prin care să recunoască exploatarea sau să detalieze ce fonduri ale clienților, dacă există, au fost afectate. Tăcerea lasă întrebări fără răspuns cu privire la faptul dacă comercianții care utilizează canalele de plată ale Triple-A au întâmpinat vreo întrerupere a decontării și dacă compania deține rezerve suficiente pentru a despăgubi integral utilizatorii afectați.

În următoarele câteva ore, cercetătorii în domeniul securității vor continua probabil să monitorizeze adresa Ethereum consolidată în căutarea unor indicii care să sugereze că atacatorul transferă fondurile către burse centralizate sau către un serviciu de amestecare, un pas care ar putea oferi anchetatorilor șansa de a semnaliza portofelul înainte ca fondurile să fie retrase.