Mise à jour sur l’exploitation du pont Ronin: les attaques de ponts inter‑chaînes restent une préoccupation

Le PDG d’Aurora Labs, Alex Shevchenko, a partagé lundi (12 août) dans un fil Twitter en 15 parties les détails d’une attaque infructueuse contre Rainbow Bridge pendant le week‑end. L’attaque a été contrée par des systèmes de surveillance automatisés en moins d’une minute, réduisant la caution de l’attaquant d’environ 8 000 $. L’attaquant cherchait à voler des fonds du pont sans confiance – n’utilisant aucun intermédiaire sélectionné – samedi, espérant probablement une réaction retardée ou lente.

Se faisant passer pour des relais de Rainbow Bridge transmettant des informations sur les blocs NEAR à Ethereum, l’attaquant a tenté de soumettre un bloc NEAR falsifié à son contrat intelligent. L’exploit tenté a toutefois été détecté et supprimé par la défense automatisée du protocole en l’espace de quatre blocs Ethereum – 31 secondes – réduisant la caution requise de 5 ETH. En mai, un incident similaire a été évité sur le pont Rainbow du protocole NEAR sans perte de fonds pour les utilisateurs. Shevchenko a indiqué à l’époque que l’attaque avait été lancée avec un dépôt via le mixeur de pièces désormais sanctionné, Tornado Cash.

Solana, NEAR Protocol et Axie Infinity ont été exploités en 2022

Les ponts inter‑chaînes sont devenus un terrain propice aux cybercriminels cherchant à exploiter les failles des protocoles DeFi pour voler les fonds des utilisateurs. Le PDG d’Aurora Lab a révélé dans le post de lundi que l’augmentation du montant de la caution avait été envisagée par le passé comme moyen de prévenir de telles exploitations. Cette approche a toutefois été finalement abandonnée car elle rendrait « le pont plus autorisé » en conflit avec la volonté de décentralisation de l’entreprise.

Wormhole, un pont entre la blockchain Solana et d’autres réseaux de finance décentralisée, a subi une exploitation de 120 000 wETH (soit environ 320 millions de dollars) en février. Moins de deux mois plus tard, une autre attaque DeFi, cette fois impliquant le pont Ronin, a vu un attaquant siphonner 173 600 ETH et 25,5 millions de USDC, d’une valeur d’environ 625 millions de dollars. La société de recherche en sécurité SlowMist a récemment indiqué que les acteurs à l’origine de ce qui est l’une des plus importantes attaques de l’histoire de la DeFi ont depuis transféré les actifs volés du réseau Ethereum vers le réseau Bitcoin.

SlowMist rapporte les dernières informations sur le piratage du pont Ronin d’Axie Infinity

BliteZero de SlowMist a observé que les fonds ont été transférés afin de dérouter les autorités qui traquent les fonds dans le but de démasquer les auteurs de l’exploitation. Dans le rapport de mi‑année sur la sécurité de la blockchain et l’analyse AML, la société a indiqué que les hackers avaient utilisé ChipMixer et Blender, sanctionnés par le Trésor américain en mai, pour déplacer les fonds volés vers le réseau Bitcoin.

Suivi des fonds

Le rapport SlowMist a détaillé que le Lazarus Group, responsable de cette attaque, a canalisé une partie de leurs ETH via des échanges de crypto-monnaies. 5 029 ETH ont été transférés vers l’échange crypto HTX, 1 219,98 ETH via FTX, et 667,39 ETH via Binance. Le rapport indique qu’un total de 6 249,98 ETH a été envoyé aux échanges crypto centralisés le 28 mars.

On dit que le collectif de hackers nord‑coréen a ensuite envoyé 439,78 BTC (retirés via des échanges vers le réseau Bitcoin) au mixeur de Bitcoin sanctionné Blender.io. Par la suite, une partie massive de ce butin volé – 175 000 ETH – a été envoyée à Tornado Cash entre le 4 avril et le 19 mai.

À la suite de l’attaque du Ronin fin mars, Blender est devenu le premier mixeur de monnaie virtuelle à être sanctionné par l’OFAC du département du Trésor américain le 6 mai. En fait, l’enquêteur blockchain BliteZero note que la plupart des adresses sanctionnées du mixeur étaient des adresses de dépôt associées aux hackers du Ronin. L’OFAC américain a déclaré que plus de 20,5 millions de dollars de crypto volés du pont Ronin avaient été canalisés via Blender, ce que BliteZero a confirmé comme correspondant à un chiffre calculé de 20,72 millions de dollars sur ces adresses – les 439,78 BTC retirés via HTX et FTX.

Plus de transferts d’ETH vers Bitcoin

Il a été confirmé que les attaquants ont piraté des clés privées afin de falsifier des retraits. L’exploitation s’est poursuivie avec la crypto‑monnaie transformée par Tornado échangée contre renBTC via UniSwap et 1inch. Étant donné que Ren permet le transfert d’actifs entre blockchains, le groupe criminel aurait alors utilisé le protocole et exploité renBTC pour réaliser des transferts d’actifs entre les réseaux Ethereum et Bitcoin.

Après le retrait du protocole Ren, la plupart du BTC enveloppé a été regroupé puis davantage dissimulé via un transfert à travers les mixeurs de blockchain Bitcoin Wasabi Coinjoin et ChipMixer. Les hackers transfèrent les recettes vers des mixeurs de crypto comme ChipMixer et Blender depuis le 6 avril. L’argent retiré via ChipMixer est envoyé à d’autres mixeurs, dont Coinjoin, Blender et ChipMixer. Le reste de la crypto enveloppée a été échangé contre du Bitcoin au comptant sur des échanges crypto tels que Binance, WhiteBit et Coinbase.

La popularité des mixeurs de crypto-monnaies

Le rapport de SlowMist intervient alors que 2022 voit une utilisation accrue des services de mixage de crypto-monnaies pour faciliter des activités financières illicites. Ces mixeurs de pièces permettent aux utilisateurs de masquer l’historique des transactions de crypto-monnaies en les regroupant avec les fonds d’autres utilisateurs. La valeur moyenne des fonds reçus par les mixeurs a atteint un record de 52 millions de dollars en crypto le 19 avril. En conséquence du piratage, des réglementations et une surveillance plus strictes ont été imposées à ces outils de mixage de pièces axés sur la confidentialité.