9,7 miljoner dollar stulna från Triple-A-hot wallets i sex olika kedjor: Här är vad Peckshield har upptäckt

Onchain-utredare upptäckte intrånget först

Onchain-utredaren Specter var den första att rapportera händelsen. Enligt en varning från Peckshield som publicerades på lördagen hade plånböcker kopplade till Triple-A, en Singapore-baserad betalningsgateway för konvertering mellan fiatvaluta och kryptovaluta, tömts på medel på Ethereum, Tron, Polygon, Arbitrum, Solana och The Open Network (TON).

Triple-A driver en betalningsinfrastruktur som gör det möjligt för handlare att ta emot kryptovaluta och avräkna i fiatvaluta, vilket innebär att deras hot wallets innehåller en roterande pool av kundmedel och likvida stablecoins för att snabbt kunna bearbeta transaktioner. Hot wallets är anslutna till internet för att öka hastigheten, en avvägning som gör dem mer utsatta än offline-cold storage.

Onchain-data som granskats av säkerhetsforskare visar att angriparen bytte ut stulna stablecoins och andra likvida tillgångar på decentraliserade börser innan utbytet överfördes till Ethereum. Medlen hamnade på en enda adress som börjar med 0x01F8, vilken per lördag innehöll ungefär 5 227 ETH, värda cirka 9,7 miljoner dollar.

Den samlade plånboken tog emot de stulna tillgångarna i flera omgångar istället för en enda överföring, ett tillvägagångssätt som stämmer överens med tidigare skurkar som metodiskt har omvandlat tillgångar över flera blockkedjor innan de samlat ihop dem igen.

Slutligen bör det nämnas att Peckshield tidigare har flaggat för liknande konsolideringar via övergångar till Ethereum, däribland ett misstänkt utnyttjande där 5,25 miljoner dollar överfördes från Hedera till Ethereum för bara ett par veckor sedan.

Ett välbekant mönster för betalningsinfrastruktur

Triple-A ansluter sig till en växande lista över kryptovalutabetalningsförmedlare och börser som i år har utsatts för intrång i sina hot wallets. Attacker mot Web3-infrastrukturföretag följer ofta ett liknande mönster, dvs. angripare får tillgång till en hot wallets privata nycklar eller ett felkonfigurerat smart kontrakt, tömmer likvida tillgångar snabbt och tvättar sedan vinsten via decentraliserade börser (DEX:er) och kedjeöverskridande bryggor innan centraliserade plattformar hinner frysa medlen.

En identisk taktik kunde observeras när Gravity Bridge tömdes på 5,4 miljoner dollar i maj, där angriparen ledde de stulna medlen via Binance för att dölja spåren. Inte nog med det – cybersäkerhetsjätten har konstaterat att branschen förlorade 75,87 miljoner dollar till följd av 40 separata hackerattacker enbart under juni, vilket är en minskning med 7,13 % jämfört med majs 81,7 miljoner dollar (där intrång i hot wallets fortfarande är bland de vanligaste attackvektorerna tillsammans med buggar i smarta kontrakt och läckor av privata nycklar).

Inga åtgärder vidtagna

Mer än åtta timmar efter att intrånget först uppmärksammades har Triple-A ännu inte utfärdat något officiellt uttalande där man bekräftar attacken eller redogör för vilka kundmedel, om några, som påverkats. Tystnaden lämnar frågor öppna om huruvida handlare som använder Triple-A:s betalningssystem har upplevt några störningar i avräkningen, och om företaget har tillräckliga reserver för att ersätta de drabbade användarna fullt ut.

Under de närmaste timmarna kommer säkerhetsforskare sannolikt att fortsätta övervaka den samlade Ethereum-adressen för tecken på att angriparen flyttar medel till centraliserade börser eller en mixingtjänst – ett steg som skulle kunna ge utredarna en chans att spåra plånboken innan pengarna tas ut.