WazirX står over for en stejlt kamp efter massiv cyberangreb: Hvor er vi nu?

Det er tre måneder siden, at den indiske kryptovaluta-børs WazirX blev hakket for 230 millioner dollars, hvilket resulterede i tabet af mere end 40% af alle kunderes beholdninger.

Dette har været et stort chok og tab for Indiens kryptoindustri, som ifølge blockchain-analysefirmaet Chainalysis’ 2024 Global Crypto Adoption Index, rangerer som nummer ét i overordnet krypto-adoptionsgrad ud af 151 nationer. Dette markerer det andet år i træk, at verdens mest befolkede land har besat toppositionen.

Indstrømmene fra Central- og Sydasien og Oceanien (CSAO)-regionen, under hvilken Indien falder, er blevet rapporteret til at være 570 milliarder dollars mellem juli 2023 og juni 2024. CSAO har høje niveauer af aktivitet på lokale kryptobørser, i DeFi og med merchant-tjenester, ifølge rapporten.

Indiens krypto-sektor er dog stadig stort set ureguleret. Alligevel er der en skat på 30% af kapitalgevinster fra krypto-aktiviteter, samt en skat på 1% trukket ved kilde (TDS) på hver transaktion. Virksomheder, der beskæftiger sig med krypto, skal derimod have en licens fra National Financial Intelligence Unit (FIU).

Trods disse reguleringer fortsætter krypto-relateret svindel og hacking-episoder med at stige i Indien. For eksempel har investorer udtrykt frustration over X på FIU-registrerede børser som Bitbns, som har begrænset udtagninger, hvilket vækker frygt om sikkerheden af kundernes midler. Imens har WazirX, en anden FIU-registreret børs, tabt brugernes midler i et hack under bull-markedet.

Engang en af de førende kryptobørser i Indien, er WazirX nu ramt af konsekvenserne af et massivt cyberangreb, der fandt sted den 18. juli.

Så, hvad er der egentlig sket hele denne tid? Hvad er fremgangen, hvis der overhovedet er nogen, som WazirX har gjort i de sidste tre måneder? Lad os se!

En gennemgang: Alt, der er sket i de sidste 3 måneder

For at gennemgå, blev en multi-sig-pung tilhørende WazirX hakket. Denne pung blev administreret ved hjælp af tjenesterne fra Liminal, et digitalt formue-værdipapirfirma.

På dagen for hackingen påstod WazirX, at angrebet skyldtes en “diskrepanse” mellem den faktiske transaktionsindhold og hvad Liminals interface viste. Børsen afsluttede herefter sin relation med Liminal og overførte midler til nye multisig-pung.

WazirX ansatte herefter Mandiant Solutions, et datterselskab til Google, til at gennemføre en forensisk analyse af dens bærbare computere, der blev brugt til at signere transaktioner. Undersøgelsen fandt ingen beviser for, at WazirX-enheder og -systemer var kompromitteret under hackingen. Imens bragte Liminal revisionsgiganten Grant Thornton ind for at gennemføre sin egen analyse, som frikendte formue-værdipapirfirmaet for enhver form for uregelmæssighed.

Mens begge selskaber beskyldte hinanden for sikkerhedsfejl i et forsøg på at undgå ansvar, blev brugerne efterladt fortvivlede, idet de havde tabt deres formuer.

Det stjålne beløb var 230 millioner dollars, hvilket, ifølge beholdningerne, som WazirX rapporterede i begyndelsen af juni på 503,64 millioner USDT, udgjorde 45,6% af dens samlede aktiver. De stjålne aktiver omfattede Ethereum (ETH), Tether (USDT), Pepe (PEPE) og Gala Games (GALA).

Statsstøttede aktører som den nordkoreanske Lazarus Group, der er berygtet for at hvide stjålne aktiver på tværs af jurisdiktioner, mistænkes for at være involveret i WazirX-hackingen.

Hackeren har allerede færdiggjort at hvide alle de stjålne midler. Data fra Arkham viser, at midlerne først startede med at flytte i august, og hackerne accelererede aktiviteten sidste måned.

For at hvide de tabte midler brugte hackeren krypto-blanderen Tornado Cash, som kamuflerer oprindelsen af midlerne. Denne tjeneste er almindeligt brugt af kriminelle til at flytte stjålne midler, mens de holder deres online-spor rent. Udvikleren af Tornado Cash, Alexey Pertsev, er faktisk blevet idømt fem år og fire måneders fængsel efter, at en nederlandsk dommer fandt ham skyldig i hvidvask.

Tilbage til WazirX, lige efter hackingen, pausede børsen alle krypto- og fiat-udtagninger, herunder den indiske valuta (INR), og efterlod brugerne strandet. Siden da har WazirX meddelt, at der vil være faser og begrænsninger for INR-udtagninger, og at berettigede brugere kan “udtage op til den fulde 66% grænse for deres INR-saldier”.

Mens delvise INR-udtagninger er genoptaget, er krypto-udtagninger stadig suspenderet, mens WazirX arbejder på at konsolidere pung-balancer og genskabe brugeradgang. Ved en virtuel pressekonference delte firmaets rådgivere, at WazirX måske kun vil være i stand til at returnere 55-57% af kapitalen.

Når det kommer til aktiv-restitution, foreslog børsen oprindeligt en “Socialized Loss Strategy”, hvor tabere kan få lidt over halvdelen af deres beholdninger, mens de låser de resterende aktiver. Børsen fik megen kritik fra brugerne og konkurrenterne for den foreslåede plan, som blev fremlagt i slutningen af juli, den måned, hvor WazirX blev hakket.

Siden da har WazirX været langsom til at give opdateringer om restitutionplanerne, børsens live proof-of-reserves og identiteten af de ukendte gerningsmænd.

Retlige uenigheder med konkurrenten CoinSwitch over 9,7 millioner dollars i låste midler har også kompliceret processen. CoinSwitch har sagsøgt WazirX for at genskabe de fastlåste midler, som ifølge børsen udgør omkring 2% af alle dens midler.

“Fra dagen for episoden har vi forsøgt at være i konstant kontakt med WazirX-holdet, med henblik på at genskabe de midler, der er låst på deres børs. Men vores bestræbelser har ikke ført til noget, og vi har ikke andet valg end at søge retslig handling for at genskabe midlerne.”

– skrev CoinSwitch i en post den 28. august

Handelsplatformen påstod, at den brugte sin egen skatkiste til at sikre, at brugernes kryptobeholdninger var fuldt dækket.

Restitutionen: At forfølge en gældsaneringsproces

Efter megen venten meddelte børsen sin aktiv-restitutionsplan, som den ville forfølge som en ‘Singapore Scheme of Arrangement’. Dette betyder, at WazirX-ledelsen vil fremlægge et gældsaneringsforslag, som brugerne vil stemme om godkendelse, før det godkendes af retten.

Selvom det er et stort skridt fremad, er der ikke givet nogen tydelig tidsramme, hvilket har forvirret WazirX-brugerne og gjort dem vrede. Ifølge en WazirX-blogpost forudser de “mindst 6 måneder til at overveje vilkårene for restruktureringsplanen og arbejde med de relevante interessenter”.

Brugere er også blevet forvirret af WazirX’s beslutning om at føre sagen til en udenlandsk ret. I svaret herpå postede børsen en video på X (tidligere Twitter) den 29. september, hvor de forklarede, at de opererer gennem to enheder: Zettai, som er registreret i Singapore, og Zanmai, som er en indisk enhed og håndterer INR-til-krypto-operationer.

Fordi hackingen fandt sted på Zettai, som håndterer krypto og token, indgav børsen sagen i Singapore.

Det forklarede yderligere, at i november 2019 overførte Zettai sine krypto-pung og -token til Binance, verdens førende kryptobørs. Dette skridt fulgte en overtagelse, der overførte ejerskab og kontrol over platformen til Binance, påstod videon, der blev lagt ud af WazirX. Men i 2022 distancerede Binance sig offentligt fra WazirX, hvilket resulterede i en tvist mellem Zettai og Binance, der førte til, at midlerne blev overført tilbage til Zettai.

Fordi Zanmai ikke var berørt af bruddet, har firmaet tilstrækkelige midler til at dække alle INR-brugerbalancer. Trods det har børsen tidligere erklæret, at “ikke alle disse balancer er til rådighed for udtagelse”, og at omkring 34% af dem var frosset og derfor ikke tilgængelige for udtagelse.

Firmaets fortsatte involvering i uenigheder og undersøgelser af myndighederne er blevet nævnt som en grund til de frosne midler. WazirX påstår dog, at Zanmai ikke er målet for disse undersøgelser, og påstår, at INR-balancer er sikre, selvom det ikke er klart, hvornår de vil blive fuldt udgivet.

I slutningen af august ansøgte WazirX om restrukturering i en singaporeansk ret, og søger en moratorium – en midlertidig lettelse fra retslige procedurer – mens det restrukturerer sin forretning.

Dommeren sagde, at WazirX handlede i “god tro” ved at træde frem og søge en moratorium, hvilket ifølge dens medstifter Nischal Shetty vil give firmaet “den hurtigste, retfærdigste, kreditor-godkendte, juridisk bindende vej til løsning, hvor kreditorer har en token-valg og potentiel opside i en bull-run”.

For tre uger siden tildelte den singaporeanske ret en fire måneder lang moratorium til børsen, i modsætning til den seks måneder lange moratorium, det havde bedt om.

Denne handling, ifølge WazirX, baner vejen for den hurtigste løsning til at genskabe krypto-balancer, “således at der sikres en retfærdig og rettidig afslutning for alle interessenter”.

Moratoriet kom også med betingelser. Dette inkluderer at gøre pung-adresser offentlige gennem en retsafgift, udgive finansielle oplysninger, besvare bruger-spørgsmål, der er rejst i retssalen, og sikre, at fremtidige afstemninger om retsansøgninger er underlagt uafhængige parter.

https://www.youtube.com/live/DPT9VZ9yhE4

Således har WazirX været vært for Town Halls for at diskutere det foreslåede restrukturering og moratoriumansøgning med sine brugere.

“Vi er taknemlige for rettens beslutning, som giver os mulighed for at fokusere på vores vej til løsning, restitution og restrukturering.”

– WazirX’ medstifter Shetty sagde på det tidspunkt

Seneste: Listing af 240.000 pung-adresser og -balancer

Nu, denne måned, har børsen været optaget af at danne en komité af kreditorer (COC), der vil repræsentere kreditorernes interesser i Zettai’s foreslåede restrukturering. Den 10-medlemmers panel vil bestå af brugere, der er berørt af hackingen, og vil deltage i møder, give feedback, overvåge fremgangen og faciliterer kommunikation mellem kreditorer og firmaet.

WazirX’s restrukturering håndteres i øjeblikket af rådgivningsfirmaet Kroll, mens det anvender tjenesterne fra web-sikkerhedsfirmaet zeroShadow til at spore de stjålne aktiver.

Den seneste opdatering fra WazirX kom denne uge den 17. oktober, hvor de meddelte offentliggørelsen af over 240.000 pung-adresser i forbindelse med gældsaneringsprocessen.

“Hos WazirX har vi altid troet, at gennemsigtighed er nøgle til at opbygge og opretholde tillid med vores brugere.”

– Børsen skrev på X onsdag

I sin officielle erklæring pegede WazirX på retsafgiften, der vil blive indgivet til den singaporeanske højesteret og vil blive tilgængelig for kreditorer, med detaljer om omkring 240.000 pung-adresser med balancer.

I forventning om, at brugere ville spørge om det enorme antal pung-adresser, det havde, forklarede børsen, at dette er standardpraksis for en platform, der betjener omkring 4,3 millioner brugere. At håndtere et så stort antal brugere kræver et komplekst netværk af pung-adresser på tværs af flere platforme for at give brugerne en glat oplevelse, påstod de.

WazirX delte yderligere, at de fleste pung-adresser allerede er blevet konsolideret, og der er omkring 240.000 pung-adresser med token-balancer tilbage. Børsen er dog stadig i gang med at konsolidere token-balancer fra de resterende adresser, en proces, der ifølge dem tager lang tid og involverer netværksgebyrer, der også stiger, hvis processen skyndes.

“Vores prioritet er at håndtere denne proces effektivt uden at forhøje omkostningerne, således at jeres midler forbliver sikre, og jeres restitutioner optimeres.”

– WazirX

Nu vil børsen introducere Proof of Reserves (POR) for yderligere at forbedre tillid og sikkerhed i, hvordan den håndterer kundeaktiver. Dette skridt indebærer en omfattende konsolidering af token-aktiver med tredjeparts-formue-værdipapirfirmaer og tjenesteudbydere.

Mens børsen har været i gang med sin restrukturering, er den allerede stødt på problemer, idet den har sendt ukorrekte e-mails til tusinder af brugere. Bekræftelses-e-mailen var kun meant til dem, der havde støttet moratoriet via en uofficiel afstemning, men WazirX endte med at sende den til brugere, der ikke havde støttet den midlertidige lettelse fra retslige procedurer.

“Det er kommet til Zettai’s opmærksomhed, at en e-mail, der kun var meant til brugere, der tidligere havde udtrykt deres støtte til moratoriet, fejlagtigt blev sendt til omkring 9.000 yderligere platform-brugere, der ikke havde udtrykt deres støtte.”

– Firmaet afslørede i en transskription

Dette forårsagede forvirring blandt brugere, og firmaet erkendte, at dette kan have “påvirket brugernes tillid til afstemningsprocessen”.

WazirX har cirkuleret en bruger-afstemning for at måle potentiel interesse, hvis dens brugere støttede dens moratoriumansøgning. Afstemningen havde oprindeligt kun én mulighed, som var at bekræfte støtte til den retslige procedure, men efter rettens anvisning opdaterede børsen afstemningen med flere muligheder for også at inkludere modstand og ingen holdning til ansøgningen.

Vejen fremad midt i retlige og finansielle udfordringer

Under sin planlagte restrukturering håber WazirX at returnere omkring halvdelen af kundernes aktiver og sprede hackingens virkning over brugerne, så de kan modtage en “proportionel” andel af de tilgængelige krypto-aktiver.

Mens alt dette sker, har børsen også været i kontakt med flere spillere i branchen for at søge en “hvid ridder” til at hjælpe med finansiering.

“Kan man sælge noget, man påstår ikke at ejde? Kan nogen investere i eller købe en virksomhed, hvis ejerskab er omdiskuteret og undersøges af ED for FEMA-overtrædelser? Trods den lukrative data på 16 millioner brugere vil ingen ønske at blande sig i dette.”

– En lokal medie rapporterede en grundlægger af en anden kryptobørs som siger

Ud over samarbejder med hvide riddere har platformen arbejdet på at forbedre bruger-midler-genskabelse gennem profitdeling fra genåbning af børser samt nye indtægts-genererende initiativer.

Midt i alt dette står WazirX over for retslig handling fra utilfredse brugere. Den 18. oktober hørte Delhi High Court en klage fra en WazirX-investor, der søger handling mod børsen for at sammenføje midler fra både berørte og uberørte brugere for at kompensere for tab, hvilket klageren påstår negativt påvirker investorer, hvis midler ikke var kompromitteret.

Mens klageren havde kontaktet den relevante myndighed, blev der ikke taget nogen handling, og klageren påstod, at han var blevet mundtligt underrettet om, at sagen ikke ville blive forfulgt på grund af “officerer i regeringen”.

Retten har nu instrueret politiet om at undersøge og levere en rapport, og nævnte, at enhver retslig handling mod børsen ville være en civil sag. Den konkluderede yderligere, at klagen skulle forfølges i en civilretssal i stedet for gennem en klage.

Midt i alt dette har børsens grundlæggere mødt med regeringsrepræsentanter for at give alle nødvendige oplysninger om hackingen og tyveriet af krypto-aktiver.

De involverede myndigheder omfattede:

• FIU, under Finansministeriet, som beskæftiger sig med mistænkte finansielle transaktioner
• Intelligence Bureau (IB), som gennemgår sikkerhed og mod-intelligence under Finansministeriet
• Indian Computer Emergency Response Team (CERT-In), som håndterer cybersikkerheds-trusler

I alt har WazirX-hackingen ramt den indiske krypto-sektor hårdt. Episoden understreger ikke kun sårbarhederne hos børser over for cyberangreb, men afslører også tilstanden for den digitale aktiv-industri i Indien, der fører i krypto-adoptionsgrad, men mangler kraftigt, når det kommer til regulær klarhed og kunde-beskyttelse.

Mens børsen kæmper for at genskabe sig fra de finansielle og reputationsmæssige skader, giver dens restruktureringserfaringer en glimt af håb for dens brugere. Men det er kun et håb lige nu. Med WazirX, der står over for retlige uenigheder, bruger-utilfredshed og usikkerhed om ejerskab, er vejen til restitution langt fra glat.

De næste få måneder vil være afgørende for at bestemme, om WazirX kan genskabe tillid og genskabe sin position på det hurtigt voksende indiske kryptomarked eller om det vil ende med at være endnu en advarselshistorie i branchen.

Klik her for en liste over de bedste ikke-custodiale tegnebøger.