Z „hot walletov“ s ratingom AAA bolo v šiestich reťazcoch odcudzených 9,7 milióna dolárov: Tu je zistenie spoločnosti Peckshield

Prvý na útok upozornil on-chain vyšetrovateľ

Incident ako prvý nahlásil on-chain vyšetrovateľ Specter. Podľa upozornenia spoločnosti Peckshield zverejneného v sobotu boli peňaženky spojené so spoločnosťou Triple-A, platobnou bránou so sídlom v Singapure umožňujúcou prevod fiatových mien na kryptomeny, vyprázdnené o prostriedky v sieťach Ethereum, Tron, Polygon, Arbitrum, Solana a The Open Network (TON).

Spoločnosť Triple-A prevádzkuje platobnú infraštruktúru, ktorá umožňuje obchodníkom prijímať kryptomeny a zúčtovávať v fiat menách, čo znamená, že jej „hot peňaženky“ obsahujú rotujúci fond prostriedkov zákazníkov a likvidných stablecoinov na rýchle spracovanie transakcií. „Hot peňaženky“ zostávajú pre rýchlosť pripojené k internetu, čo je kompromis, vďaka ktorému sú viac vystavené riziku než offline „cold storage“.

Údaje z blockchainu, ktoré preskúmali bezpečnostní výskumníci, ukazujú, že útočník vymenil ukradnuté stabilné coiny a iné likvidné aktíva na decentralizovaných burzách, než výnosy presunul do siete Ethereum. Prostriedky skončili na jednej adrese začínajúcej na 0x01F8, na ktorej sa v sobotu nachádzalo približne 5 227 ETH v hodnote asi 9,7 milióna dolárov.

Konsolidovaná peňaženka prijala ukradnuté aktíva v niekoľkých tranžách namiesto jedného hromadného prevodu, čo je postup, ktorý je v súlade s praktikami zločincov z minulosti, ktorí sa venovali systematickému prevodu aktív cez viaceré reťazce pred ich zoskupením.

Na záver stojí za zmienku, že spoločnosť Peckshield už v minulosti upozornila na podobnú konsolidáciu prostredníctvom mostíka do siete Ethereum, vrátane podozrenia na zneužitie, pri ktorom bolo pred pár týždňami presunutých 5,25 milióna dolárov z Hedery do siete Ethereum.

Známy vzorec pre platobnú infraštruktúru

Spoločnosť Triple-A sa pridáva k rastúcemu zoznamu spracovateľov kryptomenových platieb a búrz, ktoré sa tento rok stali terčom útokov zameraných na kompromitáciu horúcich peňaženiek. Útoky na firmy poskytujúce infraštruktúru Web3 často prebiehajú podľa podobného scenára, t. j. útočníci získajú prístup k súkromným kľúčom horúcej peňaženky alebo k nesprávne nakonfigurovanému inteligentnému kontraktu, rýchlo vyberú likvidné aktíva a následne vyperú výnosy prostredníctvom decentralizovaných búrz (DEX) a medzireťazcových mostov skôr, než centralizované platformy stihnú zmraziť prostriedky.

Presne rovnaký postup bol zaznamenaný v máji, keď z Gravity Bridge bolo odcudzených 5,4 milióna dolárov, pričom útočník smeroval ukradnuté prostriedky cez Binance, aby zamaskoval stopy. A nielen to – tento gigant v oblasti kyberbezpečnosti zistil, že odvetvie prišlo len v samotnom júni o 75,87 milióna dolárov v dôsledku 40 samostatných hackerských útokov, čo predstavuje pokles o 7,13 % oproti májovej sume 81,7 milióna dolárov (pričom kompromitácia horúcich peňaženiek patrí naďalej medzi najbežnejšie vektory útokov spolu s chybami v inteligentných zmluvách a únikmi súkromných kľúčov).

Neboli prijaté žiadne nápravné opatrenia

Viac ako osem hodín po tom, čo bol útok prvýkrát nahlásený, spoločnosť Triple-A ešte nevydala oficiálne vyhlásenie, v ktorom by potvrdila tento útok alebo podrobne uviedla, ktoré prostriedky zákazníkov, ak vôbec nejaké, boli ovplyvnené. Toto mlčanie ponecháva otvorené otázky, či obchodníci využívajúci platobné kanály spoločnosti Triple-A zaznamenali nejaké narušenie zúčtovania a či spoločnosť disponuje dostatočnými rezervami na úplné odškodnenie postihnutých používateľov.

V priebehu nasledujúcich niekoľkých hodín budú bezpečnostní výskumníci pravdepodobne naďalej sledovať konsolidovanú adresu v sieti Ethereum, či sa neobjavujú náznaky, že útočník presúva prostriedky na centralizované burzy alebo do služby na zmiešavanie prostriedkov – tento krok by mohol vyšetrovateľom poskytnúť šancu označiť peňaženku skôr, ako budú výnosy vyberané.