Rainbow Bridge frustró un ataque en agosto de 2022; SlowMist rastreó los fondos robados a Ronin

El 22 de agosto de 2022, Alex Shevchenko, director ejecutivo de Aurora Labs, describió en un hilo de 15 mensajes en Twitter un ataque frustrado contra Rainbow Bridge, intentado el sábado 20 de agosto. Según su relato, los sistemas automáticos de vigilancia lo detuvieron en menos de un minuto sin pérdidas de fondos de los usuarios. El atacante perdió íntegramente la garantía de 5 ETH, valorada entonces en unos 8.000 dólares estadounidenses. El puente se basaba en la verificación del protocolo en lugar de confiar en intermediarios seleccionados; eso no eliminaba todos los riesgos de seguridad.

El atacante intentó hacerse pasar por un operador de retransmisión de bloques NEAR a Ethereum y presentó un bloque NEAR falsificado al contrato inteligente del puente. El intento de ataque fue detectado y neutralizado automáticamente en cuatro bloques de Ethereum, es decir, 31 segundos, según Shevchenko. La garantía de 5 ETH se perdió por completo, no se redujo simplemente a esa cantidad. En mayo se había frustrado un intento similar sin pérdidas de fondos de los usuarios. Shevchenko señaló entonces que la financiación inicial de aquella tentativa anterior procedía de la plataforma de mezcla sometida a sanciones estadounidenses en agosto de 2022, Tornado Cash. La referencia a las sanciones describe la situación cuando se publicó el artículo.

Robos en Wormhole y Ronin en 2022, pero ataque frustrado contra Rainbow Bridge

Los puentes entre cadenas eran objetivos atractivos para quienes buscaban aprovechar fallos de la DeFi. Shevchenko explicó que se había considerado aumentar la garantía, pero se descartó porque haría «más dependiente de permisos la participación en el puente» y elevaría las barreras de entrada, en contra del objetivo de descentralización.
En febrero de 2022, una vulnerabilidad de Wormhole, que conecta entre otras redes a Solana, permitió crear 120.000 wETH sin el respaldo correspondiente, valorados en unos 320 millones de dólares. En el ataque contra Ronin del 23 de marzo se robaron 173.600 ETH y 25,5 millones de USDC, valorados entonces con frecuencia en unos 625 millones de dólares. Eran incidentes de puentes, no pruebas de que se hubiera comprometido el consenso de las propias cadenas Solana o Ethereum. SlowMist describió después la conversión y el traslado de parte de los activos a la red Bitcoin.

El análisis de SlowMist sobre los fondos robados a Ronin

BliteZero, investigador de SlowMist, describió transferencias que, según su análisis, pretendían dificultar el rastreo. En su informe semestral sobre seguridad blockchain y prevención del blanqueo, la empresa analizó servicios como ChipMixer y Blender. Fue Blender el sancionado por Estados Unidos en mayo de 2022; no se sancionó a ambos servicios conjuntamente en esa fecha.

Seguimiento de los fondos a través de plataformas de intercambio

El artículo indicaba transferencias de 5.029 ETH a Huobi, posteriormente rebautizada como HTX, 1.219,98 ETH a FTX y 667,39 ETH a Binance. También citaba un total de 6.249,98 ETH para el 28 de marzo. Sin embargo, los tres importes suman 6.916,37 ETH y no pueden presentarse sin explicación como componentes de ese mismo total. Se trataba de flujos con distinto alcance o de una discrepancia numérica en la fuente. Las autoridades estadounidenses atribuían el ataque a Lazarus, un grupo norcoreano; el paso de fondos por una plataforma no demostraba su participación en el robo.

Según el rastreo de BliteZero, unos 439,78 BTC retirados a través de Huobi y FTX se enviaron a Blender.io. El artículo también mencionaba aproximadamente 175.000 ETH transferidos a Tornado Cash entre el 4 de abril y el 19 de mayo. El análisis detallado de SlowMist contabilizaba 175.100 ETH después de convertir los USDC robados, por lo que no se trataba exclusivamente de los ETH sustraídos inicialmente.

Blender fue el primer servicio de mezcla de criptomonedas sancionado por Estados Unidos por decisión de la OFAC del 6 de mayo de 2022. El Tesoro estadounidense declaró que había procesado más de 20,5 millones de dólares del botín. BliteZero vinculó ciertas direcciones con Ronin y estimó en unos 20,72 millones de dólares los 439,78 BTC retirados a través de Huobi y FTX. Estas valoraciones en distintos momentos no representaban dos robos adicionales ni un tipo de cambio exacto confirmado por la OFAC.

De ETH y renBTC a la red Bitcoin

Los atacantes utilizaron claves privadas comprometidas de validadores de Ronin para autorizar retiradas falsas. Según SlowMist, fondos que habían pasado por Tornado Cash se cambiaron después por renBTC mediante Uniswap y 1inch, y se canjearon a través de Ren para trasladar el valor correspondiente a Bitcoin. renBTC representaba BTC en Ethereum; utilizar ese mecanismo no significaba recurrir al apalancamiento financiero.
SlowMist describía flujos posteriores hacia ChipMixer y Blender y el uso de la técnica CoinJoin de Wasabi, no de una cadena distinta llamada Coinjoin. El artículo mencionaba transferencias desde el 6 de abril, nuevas mezclas tras las retiradas de ChipMixer y operaciones a través de Binance, WhiteBIT y Coinbase. Las vinculaciones después de la mezcla se basaban en parte en análisis probabilísticos de la cadena: no todas las direcciones posteriores podían identificarse con certeza. Tras el canje mediante Ren, los activos eran BTC en Bitcoin, no renBTC todavía envueltos.

El uso de mezcladores de criptomonedas en 2022

Los informes describían un mayor uso de mezcladores tanto para preservar la privacidad como para ocultar el rastro de fondos ilícitos. Estas técnicas podían dificultar los vínculos entre transacciones, pero no garantizaban el anonimato. Según Chainalysis, la media móvil de 30 días del valor recibido por los mezcladores alcanzó 51,8 millones de dólares, unos 52 millones redondeando, el 19 de abril de 2022. No era el importe medio de una transacción ni correspondía únicamente a dinero robado. Los incidentes aumentaron la atención de las autoridades, sin constituir una prohibición general de todas las técnicas de mezcla. Las menciones de sanciones aquí se refieren a 2022.