Update over de exploit van Ronin Bridge: Cross-chain Bridge-aanvallen blijven een zorg

De CEO van Aurora Labs, Alex Shevchenko, deelde maandag (12 augustus) in een 15-delige Twitter-post details van een mislukte aanval op de Rainbow Bridge in het weekend. De aanval werd binnen een minuut tegengehouden door geautomatiseerde waakhonden, waardoor de borg van de aanvaller van ongeveer $8.000 werd verlaagd. De aanvaller probeerde fondsen te stelen van de trustless – maakt geen gebruik van geselecteerde tussenpersonen – brug op zaterdag, vermoedelijk in de hoop op een vertraagde of trage reactie.

Door zich voor te doen als een Rainbow Bridge-relayer die informatie over NEAR-blokken naar Ethereum stuurt, probeerde de aanvaller een vervalst NEAR-blok in te dienen bij het slimme contract. De poging tot exploit werd echter gedetecteerd en onderdrukt door de geautomatiseerde verdediging van het protocol binnen vier Ethereum-blokken – 31 seconden – waardoor de vereiste borg van 5 ETH werd verlaagd. In mei werd een soortgelijk incident op de NEAR Protocol Rainbow Bridge voorkomen zonder verlies van gebruikersfondsen. Shevchenko merkte destijds op dat de aanval werd gestart met een storting via de nu gesanctioneerde coin mixer, Tornado Cash.

Solana, NEAR Protocol en Axie Infinity zijn in 2022 geëxploiteerd

Cross-chain bridges zijn een broedplaats geworden voor cybercriminelen die op zoek zijn naar kwetsbaarheden in DeFi-protocollen om fondsen van gebruikers te stelen. De CEO van Aurora Lab onthulde in de maandagpost dat het verhogen van de borgsom in het verleden werd beschouwd als een manier om dergelijke exploits te voorkomen. Deze aanpak werd echter uiteindelijk afgewezen omdat het “de brug meer permissief” zou maken, wat in strijd is met de decentralisatie‑push van het bedrijf.

Wormhole, een brug tussen de Solana-blockchain en andere gedecentraliseerde financiële netwerken, leed in februari een exploit van 120.000 wETH (ongeveer $320 miljoen). Minder dan twee maanden later zag een andere DeFi-hack, dit keer met de Ronin Bridge, een aanvaller 173.600 ETH en 25,5 miljoen USDC aftappen, ter waarde van ongeveer $625 miljoen. Het beveiligingsonderzoeksbureau SlowMist meldde onlangs dat de entiteiten die een van de grootste hacks in de DeFi‑geschiedenis uitvoerden, de gestolen activa sindsdien van het Ethereum‑netwerk naar het Bitcoin‑netwerk hebben verplaatst.

SlowMist meldt het laatste over de Ronin bridge-hack van Axie Infinity

SlowMist’s BliteZero observeerde dat de fondsen zijn overgedragen om autoriteiten die de fondsen volgen te misleiden terwijl ze proberen de daders achter de exploit te achterhalen. In het midden‑jaar rapport over blockchain‑beveiliging en AML‑analyse schreef het bedrijf dat de hackers ChipMixer en Blender gebruikten, die in mei door het Amerikaanse ministerie van Financiën werden gesanctioneerd, om de gestolen fondsen naar het Bitcoin‑netwerk te verplaatsen.

Het volgen van de fondsen

Het SlowMist‑rapport gaf gedetailleerd aan dat de Lazarus Group, aan wie deze aanval wordt toegeschreven, een deel van hun ETH via cryptobeurzen kanaliseerde. 5.029 ETH werd overgemaakt naar de HTX‑cryptobeurs, 1.219,98 ETH via FTX, en 667,39 ETH via Binance. Het rapport merkt op dat in totaal 6.249,98 ETH op 28 maart naar gecentraliseerde cryptobeurzen werd gestuurd.

De Noord-Koreaanse hackgroep zou vervolgens 439,78 BTC (opgehaald via beurzen naar het Bitcoin‑netwerk) hebben gestuurd naar de gesanctioneerde Bitcoin‑mixer Blender.io. Nu is het enorme deel van deze gestolen voorraad – 175.000 ETH – tussen 4 april en 19 mei naar Tornado Cash gestuurd.

Na de Ronin‑aanval eind maart werd Blender de eerste virtuele valuta‑mixer die door het OFAC van het Amerikaanse ministerie van Financiën werd gesanctioneerd op 6 mei. In feite merkt blockchain‑onderzoeker BliteZero op dat de meeste gesanctioneerde adressen van de mixer stortingsadressen waren die geassocieerd werden met de Ronin‑hackers. Het Amerikaanse OFAC zei dat meer dan $20,5 miljoen aan crypto die van de Ronin‑bridge werd gehackt, via Blender werd gekanaliseerd, wat BliteZero heeft bevestigd als een berekende waarde van $20,72 miljoen in deze adressen – de 439,78 BTC die via HTX en FTX werden opgenomen.

Meer ETH‑naar‑Bitcoin‑overdrachten

Er is bevestigd dat de aanvaller(s) privésleutels hebben gehackt om valse opnames te vervalsen. De exploit ging verder met de via Tornado verwerkte crypto die werd omgeruild voor renBTC via UniSwap en 1inch. Omdat Ren de overdracht van activa tussen blockchains mogelijk maakt, zou de criminele groep het protocol hebben gebruikt en renBTC hebben ingezet om activatransacties tussen de Ethereum‑ en Bitcoin‑netwerken te voltooien.

Na de opname uit het Ren‑protocol werd het grootste deel van de gewikkelde BTC samengevoegd en verder verborgen via een overdracht via Bitcoin‑blockchain‑mixers Wasabi Coinjoin en ChipMixer. De hackers hebben sinds 6 april de opbrengsten naar cryptomixers zoals ChipMixer en Blender overgeboekt. Het geld dat via ChipMixer werd opgenomen, wordt naar andere mixers gestuurd, waaronder Coinjoin, Blender en ChipMixer. De rest van de gewikkelde crypto werd omgeruild voor spot‑Bitcoin op cryptobeurzen zoals Binance, WhiteBit en Coinbase.

De populariteit van cryptocurrency‑mixers

Het rapport van SlowMist komt op een moment dat 2022 een toegenomen gebruik van crypto‑mixingdiensten ziet om illegale financiële activiteiten te faciliteren. Deze coin‑mixers stellen gebruikers in staat de transactiegeschiedenis van cryptocurrencies te verbergen door ze te combineren met de fondsen van andere gebruikers. De gemiddelde waarde van door mixers ontvangen fondsen bereikte op 19 april een record hoogtepunt van $52 miljoen aan crypto. Als gevolg van de hack zijn strengere regels en toezicht opgelegd aan deze privacy‑gerichte coin‑mixing‑tools.