Rainbow Bridge déjoue une attaque en août 2022 ; SlowMist retrace les fonds volés à Ronin

Le 22 août 2022, Alex Shevchenko, PDG d’Aurora Labs, a décrit dans un fil Twitter de 15 messages une attaque déjouée contre Rainbow Bridge, tentée le samedi 20 août. Selon son récit, des systèmes de surveillance automatiques l’ont arrêtée en moins d’une minute sans perte de fonds pour les utilisateurs. L’attaquant a perdu la totalité de sa caution de 5 ETH, alors évaluée à environ 8 000 dollars américains. Le pont reposait sur la vérification par le protocole plutôt que sur la confiance dans des intermédiaires sélectionnés, ce qui ne supprimait pas tous les risques.

L’attaquant a tenté de se faire passer pour un opérateur de relais transmettant des blocs NEAR à Ethereum et a soumis un bloc NEAR falsifié au contrat du pont. Cette tentative d’attaque a été détectée et neutralisée automatiquement en quatre blocs Ethereum, soit 31 secondes, selon Shevchenko. La caution de 5 ETH a été confisquée, et non simplement réduite à ce montant. Une tentative similaire avait été déjouée en mai sans perte de fonds des utilisateurs. Shevchenko avait alors indiqué que le financement initial de cette précédente attaque provenait de la plateforme de mixage visée par des sanctions américaines en août 2022, Tornado Cash. Cette référence aux sanctions décrit la situation à la publication de l’article.

Vols sur Wormhole et Ronin en 2022, mais attaque déjouée contre Rainbow Bridge

Les ponts entre blockchains constituaient des cibles attractives pour les attaques contre la DeFi. Shevchenko expliquait qu’une augmentation de la caution avait été envisagée puis écartée, car elle rendrait « la participation au pont plus dépendante d’une autorisation » et élèverait les obstacles à l’entrée, à rebours de l’objectif de décentralisation.

En février 2022, une faille de Wormhole, qui relie notamment Solana à d’autres réseaux, a permis de créer 120 000 wETH sans la garantie correspondante, pour environ 320 millions de dollars. Le 23 mars, l’attaque contre Ronin a entraîné le vol de 173 600 ETH et de 25,5 millions d’USDC, souvent évalués à environ 625 millions de dollars à l’époque. Ces incidents concernaient des ponts et ne démontraient pas une compromission du consensus des blockchains Solana ou Ethereum elles-mêmes. SlowMist a ensuite décrit la conversion et le transfert d’une partie des actifs vers le réseau Bitcoin.

L’analyse de SlowMist sur les fonds volés au pont Ronin

BliteZero, enquêteur chez SlowMist, a décrit des transferts destinés, selon son analyse, à compliquer le traçage. Dans son rapport semestriel sur la sécurité des blockchains et la lutte contre le blanchiment, l’entreprise analysait notamment ChipMixer et Blender. Seul Blender avait été sanctionné par les États-Unis en mai 2022 ; les deux services n’avaient pas été sanctionnés ensemble à cette date.

Suivi des passages par les plateformes d’échange

L’article indiquait des transferts de 5 029 ETH vers Huobi, rebaptisé HTX ultérieurement, de 1 219,98 ETH vers FTX et de 667,39 ETH vers Binance. Il citait aussi un total de 6 249,98 ETH pour le 28 mars. Or, les trois montants s’additionnent à 6 916,37 ETH : ils ne peuvent donc pas être présentés comme les composantes de ce même total sans explication. Il s’agissait de flux de périmètres différents ou d’une divergence chiffrée dans la source. Les autorités américaines attribuaient l’attaque au groupe nord-coréen Lazarus ; le passage de fonds par une plateforme ne prouvait pas sa participation au vol.

Selon le traçage de BliteZero, environ 439,78 BTC retirés via Huobi et FTX ont été envoyés à Blender.io. L’article évoquait aussi environ 175 000 ETH transférés à Tornado Cash entre le 4 avril et le 19 mai. L’analyse détaillée de SlowMist donnait 175 100 ETH après conversion des USDC volés : ce montant ne se limitait donc pas aux seuls ETH dérobés initialement.

Blender est devenu le premier service de mixage de cryptomonnaies sanctionné par les États-Unis le 6 mai 2022, par décision de l’OFAC. Le Trésor américain déclarait qu’il avait traité plus de 20,5 millions de dollars provenant du vol. BliteZero associait certaines adresses à Ronin et estimait à environ 20,72 millions de dollars les 439,78 BTC retirés via Huobi et FTX. Ces valorisations à des moments différents ne représentaient pas deux vols supplémentaires, ni un taux de conversion exact validé par l’OFAC.

De l’ETH et du renBTC vers le réseau Bitcoin

Les attaquants ont utilisé des clés privées compromises de validateurs Ronin pour autoriser de faux retraits. Selon SlowMist, des fonds passés par Tornado Cash ont ensuite été échangés contre du renBTC via Uniswap et 1inch, puis convertis par le pont Ren pour transférer la valeur correspondante vers Bitcoin. Le renBTC représentait du BTC sur Ethereum ; utiliser ce mécanisme ne signifiait pas recourir à un effet de levier financier.

SlowMist décrivait ensuite des flux vers ChipMixer et Blender ainsi que l’utilisation du mécanisme CoinJoin de Wasabi, et non d’une blockchain distincte appelée Coinjoin. L’article évoquait des transferts à partir du 6 avril et de nouveaux mélanges après des retraits de ChipMixer, ainsi que des échanges via Binance, WhiteBIT et Coinbase. Les rapprochements après mixage reposaient en partie sur des analyses probabilistes : toutes les destinations ultérieures ne pouvaient pas être établies avec certitude. Après la conversion par Ren, il s’agissait de BTC sur Bitcoin, et non encore de renBTC enveloppés.

L’utilisation des services de mixage en 2022

Les rapports décrivaient une utilisation accrue des services de mixage, tant pour préserver la confidentialité que pour brouiller la piste de fonds illicites. Ces techniques pouvaient compliquer les liens entre transactions sans garantir l’anonymat. Selon Chainalysis, la moyenne mobile sur 30 jours de la valeur reçue par les services de mixage atteignait 51,8 millions de dollars, soit environ 52 millions, le 19 avril 2022. Ce chiffre ne représentait ni le montant moyen d’une transaction, ni uniquement des fonds volés. Les incidents ont accru l’attention des autorités, sans constituer une interdiction générale de toutes les techniques de mixage. Les mentions de sanctions ici se rapportent à 2022.