Iz »Hot Wallets« s bonitetno oceno AAA je bilo v šestih verigah izčrpanih 9,7 milijona dolarjev: to je ugotovil Peckshield

Onchain Investigator je prvi opozoril na vdor

Incident je prvi prijavil preiskovalec verige blokov Specter. Glede na opozorilo podjetja Peckshield, objavljeno v soboto, so bila sredstva iz denarnic, povezanih s podjetjem Triple-A – singapurskim plačilnim vmesnikom za pretvorbo fiatnih valut v kriptovalute –, izčrpana v omrežjih Ethereum, Tron, Polygon, Arbitrum, Solana in The Open Network (TON).

Triple-A upravlja plačilno infrastrukturo, ki trgovcem omogoča sprejemanje kriptovalut in poravnavo v fiat valuti, kar pomeni, da njihove »vroče« denarnice hranijo krožeči sklad sredstev strank in likvidnih stabilnih kovanic za hitro obdelavo transakcij. »Vroče« denarnice ostajajo zaradi hitrosti povezane z internetom, kar je kompromis, zaradi katerega so bolj izpostavljene kot »hladne« denarnice, shranjene brez internetne povezave.

Podatki iz verige blokov, ki so jih pregledali varnostni raziskovalci, kažejo, da je napadalec ukradene stabilne kriptovalute in druga likvidna sredstva zamenjal na decentraliziranih borzah, preden je iztržek prenesel v omrežje Ethereum. Sredstva so pristala na enem samem naslovu, ki se začne z 0x01F8, na katerem je bilo v soboto približno 5.227 ETH v vrednosti okoli 9,7 milijona dolarjev.

Konsolidirana denarnica je ukradena sredstva prejela v več obrokih in ne v enem samem prenosu, kar je v skladu z delovanjem zlonamernih akterjev iz preteklosti, ki so sredstva metodično pretvarjali prek več verig, preden so jih ponovno združili.

Nazadnje je treba omeniti, da je Peckshield že prej opozoril na podobne konsolidacije prek mostov v Ethereum, vključno z domnevnim izkoriščanjem ranljivosti, pri katerem je bilo pred le nekaj tedni iz Hedere v Ethereum prenesenih 5,25 milijona dolarjev.

Znani vzorec za plačilno infrastrukturo

Triple-A se pridružuje vse daljšemu seznamu obdelovalcev kriptoplačil in borz, ki so bili letos tarča napadov na »vroče« denarnice. Napadi na podjetja s področja infrastrukture Web3 pogosto potekajo po podobnem scenariju, tj. napadalci pridobijo dostop do zasebnih ključev »vroče denarnice« ali nepravilno nastavljenega pametnega pogodbenega programa, hitro izčrpajo likvidna sredstva, nato pa izprane dobičke prek decentraliziranih borz (DEX) in medverigovnih mostov, preden centralizirane platforme lahko zamrznejo sredstva.

Povsem enak scenarij smo videli maja, ko je bil iz Gravity Bridge izčrpanih 5,4 milijona dolarjev, pri čemer je napadalec ukradena sredstva preusmeril prek Binance, da bi zameglil sledi. Poleg tega je velikan na področju kibernetske varnosti ugotovil, da je industrija samo v juniju zaradi 40 ločenih hekov izgubila 75,87 milijona dolarjev, kar predstavlja 7,13-odstotni padec v primerjavi z majskimi 81,7 milijona dolarjev (pri čemer ostajajo vdori v »hot« denarnice med najpogostejšimi vektorji napadov, skupaj z napakami v pametnih pogodbah in uhajanjem zasebnih ključev).

Ni bilo sprejetih nobenih popravnih ukrepov

Več kot osem ur po tem, ko je bil vdor prvič zaznan, podjetje Triple-A še ni izdalo uradne izjave, v kateri bi potrdilo izkoriščanje ranljivosti ali podrobno opisalo, katera sredstva strank, če sploh katera, so bila prizadeta. To molčanje pušča odprta vprašanja o tem, ali so trgovci, ki uporabljajo plačilne kanale podjetja Triple-A, doživeli kakršne koli motnje pri poravnavi in ali ima podjetje zadostne rezerve, da v celoti nadomesti škodo prizadetim uporabnikom.

V naslednjih nekaj urah bodo varnostni raziskovalci verjetno še naprej spremljali združen naslov v omrežju Ethereum, da bi odkrili znake, da napadalec sredstva premika na centralizirane borze ali v storitve za mešanje sredstev – to bi preiskovalcem omogočilo, da denarnico označijo, preden se iztržek izplača.