З «гарячих» гаманців з рейтингом AAA викрадено 9,7 млн доларів у шести блокчейн-мережах: ось що виявила компанія Peckshield

Першим про злом повідомив дослідник ончейн-транзакцій

Про інцидент першим повідомив дослідник ончейн-мереж Specter. Згідно з повідомленням Peckshield, опублікованим у суботу, з гаманців, пов’язаних із Triple-A — платіжним шлюзом для конвертації фіатних валют у криптовалюту, що базується в Сінгапурі, — були виведені кошти через мережі Ethereum, Tron, Polygon, Arbitrum, Solana та The Open Network (TON).

Triple-A управляє платіжною інфраструктурою, яка дозволяє торговцям приймати криптовалюту та здійснювати розрахунки у фіатній валюті, що означає: у її «гарячих» гаманцях зберігається обертовий пул коштів клієнтів та ліквідних стейблкоїнів для швидкої обробки транзакцій. «Гарячі» гаманці залишаються підключеними до Інтернету для забезпечення швидкості — це компроміс, який робить їх більш вразливими, ніж офлайн-сховища.

Дані ончейн, проаналізовані дослідниками з безпеки, показують, що зловмисник обміняв викрадені стейблкоіни та інші ліквідні активи на децентралізованих біржах, а потім перевів отримані кошти на Ethereum. Кошти надійшли на єдину адресу, що починається з 0x01F8, на якій станом на суботу зберігалося приблизно 5 227 ETH на суму близько 9,7 млн доларів.

Консолідований гаманець отримав викрадені активи кількома траншами, а не одним сукупним переказом — такий крок відповідає тактиці зловмисників минулого, які методично конвертували активи між різними ланцюгами, перш ніж об’єднати їх.

Наостанок варто зазначити, що Peckshield раніше вже виявляв подібні випадки консолідації коштів при переведенні на Ethereum, зокрема підозрілу атаку, під час якої лише кілька тижнів тому з Hedera на Ethereum було переведено 5,25 млн доларів.

Звична схема для платіжної інфраструктури

Triple-A приєдналася до дедалі більшого списку криптоплатіжних процесорів та бірж, які цього року стали мішенями атак на гарячі гаманці. Атаки на компанії, що надають інфраструктуру Web3, часто відбуваються за схожим сценарієм: зловмисники отримують доступ до приватних ключів гарячого гаманця або до неправильно налаштованого смарт-контракту, швидко виводять ліквідні активи, а потім відмивають кошти через децентралізовані біржі (DEX) та міжланцюгові мости, перш ніж централізовані платформи зможуть заморозити кошти.

Ідентичний сценарій спостерігався у травні, коли з Gravity Bridge було виведено 5,4 млн доларів, причому зловмисник провів викрадені кошти через Binance, щоб заплутати сліди. Крім того, гігант у сфері кібербезпеки встановив, що лише у червні галузь втратила 75,87 млн доларів внаслідок 40 окремих хакерських атак, що на 7,13% менше, ніж у травні (81,7 млн доларів), причому злом «гарячих» гаманців залишається одним із найпоширеніших векторів атак поряд із помилками у смарт-контрактах та витоками приватних ключів.

Заходи щодо усунення наслідків не вжито

Через понад вісім годин після того, як про злом було вперше повідомлено, Triple-A досі не опублікувала офіційної заяви, в якій би визнала факт злом або детально описала, які кошти клієнтів, якщо такі були, зазнали збитків. Ця мовчанка залишає відкритими питання щодо того, чи зазнали торговці, які використовують платіжні канали Triple-A, будь-яких перебоїв у розрахунках, а також чи має компанія достатніх резервів для повного відшкодування збитків постраждалим користувачам.

Протягом найближчих кількох годин дослідники з питань безпеки, ймовірно, продовжуватимуть відстежувати зведену адресу Ethereum на предмет ознак того, що зловмисник переказує кошти на централізовані біржі або до сервісу змішування коштів — такий крок міг би надати слідчим можливість заблокувати гаманець до того, як вилучені кошти будуть обмінені на готівку.