Aktualisierung zum Ronin‑Bridge‑Exploit: Cross‑Chain‑Bridge‑Angriffe bleiben ein Problem

Der CEO von Aurora Labs, Alex Shevchenko, teilte am Montag (12. Aug.) in einem 15‑teiligen Twitter‑Beitrag Details zu einem gescheiterten Angriff auf die Rainbow Bridge am Wochenende mit. Der Angriff wurde von automatisierten Wächterprogrammen in weniger als einer Minute abgewehrt, wodurch die Sicherheitskaution des Angreifers von etwa 8.000 $ reduziert wurde. Der Angreifer versuchte, am Samstag Gelder von der vertrauenslosen – ohne ausgewählte Mittelsmänner – Brücke zu stehlen, vermutlich in der Erwartung einer verzögerten oder langsamen Reaktion.

Indem er sich als Rainbow‑Bridge‑Relayer ausgab, der Informationen über NEAR‑Blöcke an Ethereum sendet, versuchte der Angreifer, einen gefälschten NEAR‑Block an den Smart Contract zu übermitteln. Der versuchte Exploit wurde jedoch von der automatisierten Verteidigung des Protokolls innerhalb von vier Ethereum‑Blöcken – 31 Sekunden – erkannt und unterdrückt, wodurch die erforderliche Sicherheitskaution von 5 ETH reduziert wurde. Im Mai wurde ein ähnlicher Vorfall auf der NEAR‑Protocol‑Rainbow‑Bridge ohne Verlust von Benutzergeldern abgewendet. Shevchenko bemerkte damals, dass der Angriff mit einer Einzahlung über den jetzt sanktionierten Coin‑Mixer, Tornado Cash, initiiert wurde.

Solana, NEAR Protocol und Axie Infinity wurden 2022 ausgenutzt

Cross‑Chain‑Brücken sind zu einem Brennpunkt für Cyberkriminelle geworden, die Schwachstellen in DeFi‑Protokollen ausnutzen wollen, um Gelder der Nutzer zu stehlen. Der CEO von Aurora Lab enthüllte im Montagspost, dass die Erhöhung der Sicherheitskaution in der Vergangenheit als Mittel zur Verhinderung solcher Exploits betrachtet wurde. Dieser Ansatz wurde jedoch schließlich verworfen, da er die Brücke “die Brücke mehr berechtigt” machen und damit dem Dezentralisierungsbestreben des Unternehmens widersprechen würde.
Wormhole, eine Brücke zwischen der Solana‑Blockchain und anderen dezentralen Finanznetzwerken, erlitt im Februar einen Exploit über 120.000 wETH (etwa 320 Millionen $). Weniger als zwei Monate später führte ein weiterer DeFi‑Hack, diesmal die Ronin‑Bridge betreffend, dazu, dass ein Angreifer 173.600 ETH und 25,5 Millionen USDC, im Wert von etwa 625 Millionen $, abzweigte. Das Sicherheitsforschungsunternehmen SlowMist berichtete kürzlich, dass die Akteure, die einen der größten Hacks in der Geschichte von DeFi durchgeführt haben, die gestohlenen Vermögenswerte seitdem vom Ethereum‑Netzwerk zum Bitcoin‑Netzwerk transferiert haben.

SlowMist berichtet über die neuesten Entwicklungen beim Ronin‑Bridge‑Hack von Axie Infinity

BliteZero von SlowMist beobachtete, dass die Gelder transferiert wurden, um die Behörden, die die Gelder verfolgen, zu verwirren, während sie versuchen, die Täter des Exploits zu ermitteln. Im halbjährlichen Bericht zur Blockchain‑Sicherheit und AML‑Analyse schrieb das Unternehmen, dass die Hacker ChipMixer und Blender, die im Mai vom US-Finanzministerium sanktioniert wurden, nutzten, um die gestohlenen Gelder ins Bitcoin‑Netzwerk zu bewegen.

Verfolgung der Gelder

Der SlowMist‑Bericht detaillierte, dass die Lazarus‑Gruppe, die für diesen Angriff verantwortlich ist, einen Teil ihres ETH über Krypto‑Börsen kanalisiert hat. 5.029 ETH wurden an die HTX‑Krypto‑Börse, 1.219,98 ETH über FTX und 667,39 ETH über Binance transferiert. Der Bericht stellt fest, dass insgesamt 6.249,98 ETH am 28. März an zentrale Krypto‑Börsen gesendet wurden.

Dem kollektiven nordkoreanischen Hackerverbund wird zufolge anschließend 439,78 BTC (über Börsen zum Bitcoin‑Netzwerk abgehoben) an den sanktionierten Bitcoin‑Mixer Blender.io gesendet worden sein. Der massive Teil dieses gestohlenen Schatzes – 175.000 ETH – wurde zwischen dem 4. April und dem 19. Mai an Tornado Cash übertragen.

Nach dem Ronin‑Angriff Ende März wurde Blender am 6. Mai der erste virtuelle Währungs‑Mixer, der vom US‑Finanzministerium OFAC sanktioniert wurde. Tatsächlich stellt der Blockchain‑Untersucher BliteZero fest, dass die meisten der sanktionierten Adressen des Mixers Einzahlungsadressen waren, die mit den Ronin‑Hackern in Verbindung stehen. Das US‑OFAC erklärte, dass über 20,5 Millionen $ an Kryptowährungen, die von der Ronin‑Bridge gehackt wurden, über Blender kanalisiert wurden, was BliteZero mit einer berechneten Summe von 20,72 Millionen $ in diesen Adressen bestätigt – die 439,78 BTC, die über HTX und FTX abgehoben wurden.

Weitere ETH‑zu‑Bitcoin‑Transfers

Es wurde bestätigt, dass die Angreifer private Schlüssel gehackt haben, um gefälschte Abhebungen zu erstellen. Der Exploit setzte sich fort, indem die über Tornado verschleierten Kryptowährungen über UniSwap und 1inch gegen renBTC getauscht wurden. Da Ren den Transfer von Vermögenswerten zwischen Blockchains ermöglicht, soll die kriminelle Gruppe das Protokoll genutzt und renBTC eingesetzt haben, um Asset‑Transfers zwischen dem Ethereum‑ und dem Bitcoin‑Netzwerk abzuschließen.
Nach der Abhebung aus dem Ren‑Protokoll wurde der größte Teil des gewrappten BTC gebündelt und über einen Transfer durch die Bitcoin‑Blockchain‑Mixer Wasabi Coinjoin und ChipMixer weiter verschleiert. Die Hacker transferieren die Erlöse seit dem 6. April an Krypto‑Mixer wie ChipMixer und Blender. Das über ChipMixer abgehobene Geld wird an andere Mixer gesendet, darunter Coinjoin, Blender und ChipMixer. Der Rest des gewrappten Krypto wurde gegen Spot‑Bitcoin an Krypto‑Börsen wie Binance, WhiteBit und Coinbase getauscht.

Die Beliebtheit von Kryptowährungs‑Mixern

Der Bericht von SlowMist erscheint, während 2022 die Nutzung von Krypto‑Mixing‑Diensten zur Erleichterung illegaler Finanzaktivitäten zunimmt. Diese Coin‑Mixer ermöglichen es Nutzern, die Transaktionshistorie von Kryptowährungen zu verbergen, indem sie diese mit den Geldern anderer Nutzer bündeln. Der durchschnittliche Wert der von Mixern erhaltenen Gelder erreichte am 19. April einen Allzeit‑Höchststand von 52 Millionen $ an Krypto. Infolge des Hacks wurden strengere Vorschriften und Aufsicht auf diese datenschutzorientierten Coin‑Mixing‑Tools angewendet.