Opdatering om Ronin Bridge’s Udnyttelse: Cross-chain broangreb er stadig en bekymring

Aurora Labs’ CEO Alex Shevchenko delte mandag (12. aug.) i et 15‑delt Twitter‑indlæg detaljer om et mislykket angreb på Rainbow Bridge i weekenden. Angrebet blev afværget af automatiserede vagthunde på under et minut, hvilket reducerede angriberens sikkerhedsdepositum til cirka $8.000. Angriberen forsøgte at stjæle midler fra den tillidsløse – uden udvalgte mellemled – bro på lørdag, sandsynligvis i håb om en forsinket eller langsom reaktion.

Poserende som en Rainbow Bridge‑relæer, der sender information om NEAR‑blokke til Ethereum, forsøgte angriberen at indsende en fabrikeret NEAR‑blok til dens smart contract. Det forsøgte udnyttelse blev dog opdaget og undertrykt af protokollens automatiserede forsvar inden for fire Ethereum‑blokke – 31 sekunder – hvilket reducerede det krævede sikkerhedsdepositum på 5 ETH. I maj blev en lignende hændelse afværget på NEAR Protocol Rainbow Bridge uden tab af brugermidler. Shevchenko bemærkede på det tidspunkt, at angrebet blev initieret med et depositum via den nu‑sanktionerede møntmixer, Tornado Cash.

Solana, NEAR Protocol og Axie Infinity er blevet udnyttet i 2022

Krydskæde‑broer er blevet et hotspot for cyberkriminelle, der søger at udnytte smuthuller i DeFi‑protokoller for at stjæle brugernes midler. Aurora Labs’ CEO afslørede i mandagsindlægget, at en forøgelse af sikkerhedsdepositummet tidligere var blevet betragtet som en måde at forhindre sådanne udnyttelser på. Denne tilgang blev dog til sidst afvist, da den ville gøre “broen mere tilladelsesbaseret” i konflikt med virksomhedens decentraliserings‑push.
Wormhole, en bro mellem Solana‑blockchainen og andre decentraliserede finansnetværk, led et udnyttelse på 120.000 wETH (omtrent $320 millioner) i februar. Mindre end to måneder senere så et andet DeFi‑angreb, denne gang involverende Ronin Bridge, en angriber tømme 173.600 ETH og 25,5 millioner i USDC, til en værdi af cirka $625 millioner. Sikkerhedsforskningsfirmaet SlowMist rapporterede for nylig, at de enheder, der udførte et af de største hacks i DeFi‑historien, siden har flyttet de stjålne aktiver fra Ethereum‑netværket til Bitcoin‑netværket.

SlowMist rapporterer det seneste om Axie Infinity’s Ronin‑broangreb

SlowMist’s BliteZero observerede, at midlerne er blevet overført for at forvirre myndighederne, der sporer midlerne, mens de forsøger at afsløre gerningsmændene bag udnyttelsen. I midt‑årets rapport om blockchain‑sikkerhed og AML‑analyse skrev firmaet, at hackerne brugte ChipMixer og Blender, som i maj blev sanktioneret af den amerikanske finansminister, til at flytte de stjålne midler til Bitcoin‑netværket.

Sporing af midlerne

SlowMist‑rapporten detaljerede, at Lazarus‑gruppen, som får kredit for dette angreb, kanaliserede en del af deres ETH via kryptobørser. 5.029 ETH blev overført til HTX‑kryptobørsen, 1.219,98 ETH via FTX og 667,39 ETH via Binance. Rapporten bemærker, at i alt 6.249,98 ETH blev sendt til centraliserede kryptobørser den 28. marts.

Den nordkoreanske hacker‑kollektiv siges derefter at have sendt 439,78 BTC (trukket via børser til Bitcoin‑netværket) til den sanktionerede Bitcoin‑mixer Blender.io. Nu blev den massive del af denne stjålne pulje – 175.000 ETH – sendt til Tornado Cash mellem 4. april og 19. maj.

Efter Ronin‑angrebet i slutningen af marts blev Blender den første virtuelle valutamixer, der blev sanktioneret af den amerikanske finansministeriums OFAC den 6. maj. Faktisk bemærker blockchain‑undersøgeren BliteZero, at de fleste af mixerens sanktionerede adresser var depositum‑adresser knyttet til Ronin‑hackerne. US‑OFAC sagde, at over $20,5 millioner i kryptovaluta, der blev hacket fra Ronin‑broen, blev kanaliseret via Blender, hvilket BliteZero har bekræftet svarer til et beregnet beløb på $20,72 millioner på disse adresser – de 439,78 BTC, der blev trukket via HTX og FTX.

Flere ETH‑til‑Bitcoin‑overførsler

Det er blevet bekræftet, at angriberne hackede private nøgler for at forfalske falske udbetalinger. Udnyttelsen fortsatte med, at den Tornado‑behandlede kryptovaluta blev byttet til renBTC via UniSwap og 1inch. Da Ren tillader overførsel af aktiver mellem blockchains, siges den kriminelle gruppe derefter at have brugt protokollen og udnyttet renBTC til at gennemføre aktivoverførsler mellem Ethereum‑ og Bitcoin‑netværkene.
Efter udbetaling fra Ren‑protokollen blev det meste af den indpakkede BTC samlet og yderligere skjult via en overførsel gennem Bitcoin‑blockchain‑mixere Wasabi Coinjoin og ChipMixer. Hackerne har siden 6. april overført provenuet til kryptomixere som ChipMixer og Blender. Pengene, der blev trukket via ChipMixer, sendes til andre mixere, herunder Coinjoin, Blender og ChipMixer. Resten af den indpakkede kryptovaluta blev byttet til spot‑Bitcoin på kryptobørser som Binance, WhiteBit og Coinbase.

Populariteten af kryptomixere

SlowMist‑rapporten kommer, mens 2022 ser en øget brug af kryptomixertjenester til at lette ulovlige finansielle aktiviteter. Disse møntmixere gør det muligt for brugere at skjule transaktionshistorikken for kryptovalutaer ved at samle dem med andre brugeres midler. Den gennemsnitlige værdi af midler, der modtages af mixere, nåede en rekord top på $52 millioner i kryptovaluta den 19. april. Som en følge af hacken er der indført strengere reguleringer og tilsyn med disse privatlivsfokuserede møntmixerværktøjer.