Altı blok zincirinde AAA derecelendirmeli sıcak cüzdanlardan 9,7 milyon dolar çalındı: Peckshield’in bulguları şöyle

Onchain Araştırmacısı Saldırıyı İlk Olarak Bildirdi

Onchain araştırmacısı Specter, olayı ilk kez bildirdi. Cumartesi günü yayınlanan bir Peckshield uyarısına göre, Singapur merkezli fiat-kripto ödeme ağ geçidi Triple-A'ya bağlı cüzdanlardaki fonlar, Ethereum, Tron, Polygon, Arbitrum, Solana ve The Open Network (TON) ağlarında boşaltılmıştı.

Triple-A, tüccarların kripto para kabul edip fiat para birimiyle ödeme yapabilmelerini sağlayan bir ödeme altyapısı işletiyor; bu da, işlemlerin hızlı bir şekilde işlenebilmesi için sıcak cüzdanlarında dönen bir müşteri fonu havuzu ve likit stabilcoin bulundurduğu anlamına geliyor. Sıcak cüzdanlar, hız için internete bağlı kalır; bu durum, onları çevrimdışı soğuk depolamaya kıyasla daha fazla riske maruz bırakır.

Güvenlik araştırmacıları tarafından incelenen on-chain veriler, saldırganın çaldığı stabilcoinleri ve diğer likit varlıkları merkeziyetsiz borsalarda takas ettikten sonra elde ettiği geliri Ethereum’a aktardığını gösteriyor. Fonlar, 0x01F8 ile başlayan tek bir adrese ulaştı; bu adreste Cumartesi itibarıyla yaklaşık 5.227 ETH, yani yaklaşık 9,7 milyon dolar değerinde varlık bulunuyordu.

Birleştirilmiş cüzdan, çalınan varlıkları tek bir toplu transfer yerine birkaç aşamada aldı; bu hareket, varlıkları yeniden gruplandırmadan önce birden fazla zincir arasında metodik bir şekilde dönüştürmekle uğraşan geçmişteki kötü niyetli aktörlerin izlediği yöntemle uyumludur.

Son olarak, Peckshield’in daha önce de Ethereum’a köprüleme yoluyla yapılan benzer konsolidasyonları işaret ettiği belirtilmelidir; bunlara, sadece birkaç hafta önce Hedera’dan Ethereum’a 5,25 milyon dolarlık bir köprüleme gerçekleştirildiği şüphelenilen bir istismar da dahildir.

Ödeme Altyapısı İçin Tanıdık Bir Model

Triple-A, bu yıl sıcak cüzdan saldırılarının hedefi olan ve giderek uzayan kripto ödeme işlemcileri ve borsaları listesine katıldı. Web3 altyapı şirketlerine yönelik saldırılar genellikle benzer bir seyir izler; yani saldırganlar, bir sıcak cüzdanın özel anahtarlarına veya yanlış yapılandırılmış bir akıllı sözleşmeye erişim sağlar, likit varlıkları hızla boşaltır, ardından merkezi platformlar fonları dondurmadan önce gelirleri merkeziyetsiz borsalar (DEX'ler) ve zincirler arası köprüler aracılığıyla aklamaya çalışır.

Mayıs ayında Gravity Bridge’den 5,4 milyon dolar çalındığında da tıpatıp aynı taktik izlendi; saldırgan, izleri gizlemek için çalınan fonları Binance üzerinden yönlendirdi. Bununla kalmayıp, siber güvenlik devi, sektörün yalnızca Haziran ayında 40 ayrı saldırı nedeniyle 75,87 milyon dolar kaybettiğini tespit etti; bu rakam, Mayıs ayındaki 81,7 milyon dolara kıyasla %7,13'lük bir düşüşe işaret ediyor (sıcak cüzdan saldırıları, akıllı sözleşme hataları ve özel anahtar sızıntılarıyla birlikte en yaygın saldırı vektörleri arasında yer almaya devam ediyor).

Herhangi Bir Düzeltici Önlem Alınmadı

Saldırının ilk kez bildirılmasından sekiz saatten fazla zaman geçmesine rağmen, Triple-A henüz bu güvenlik açığını kabul eden veya varsa hangi müşteri fonlarının etkilendiğini detaylandıran resmi bir açıklama yapmadı. Bu sessizlik, Triple-A’nın ödeme sistemlerini kullanan tüccarların ödemelerinde herhangi bir aksaklık yaşayıp yaşamadıkları ve şirketin etkilenen kullanıcıları tazmin etmek için yeterli rezervlere sahip olup olmadığı konusunda soru işaretleri bırakıyor.

Önümüzdeki birkaç saat içinde, güvenlik araştırmacıları muhtemelen saldırganın fonları merkezi borsalara veya bir karıştırma hizmetine aktardığına dair işaretler bulmak için konsolide Ethereum adresini izlemeye devam edecekler; bu adım, soruşturmacılara gelirler nakde çevrilmeden önce cüzdanı işaretleme şansı sunabilir.