Oppdatering om Ronin Bridge‑utnyttelsen: Kryss‑kjede bro‑angrep er fortsatt en bekymring

Aurora Labs’ administrerende direktør Alex Shevchenko delte mandag (12. august) i et 15‑delt Twitter‑innlegg detaljer om et mislykket angrep på Rainbow Bridge i helgen. Angrepet ble stoppet av automatiserte vakthunder på under ett minutt, og reduserte angriperens sikkerhetsdepositum på omtrent $8 000. Angriperen forsøkte å stjele midler fra den tillitsløse – som ikke bruker utvalgte mellommenn – broen på lørdag, antagelig i håp om en forsinket eller langsom respons.

Ved å utgi seg for å være en Rainbow Bridge‑relé som sender informasjon om NEAR‑blokker til Ethereum, forsøkte angriperen å sende inn en fabrikkert NEAR‑blokk til dens smarte kontrakt. Den forsøkte utnyttelsen ble imidlertid oppdaget og undertrykt av protokollens automatiserte forsvar innen fire Ethereum‑blokker – 31 sekunder – og reduserte det nødvendige sikkerhetsdepositumet på 5 ETH. I mai ble en lignende hendelse avverget på NEAR Protocol Rainbow Bridge uten tap av brukermidler. Shevchenko bemerket da at angrepet ble initiert med et innskudd via den nå sanksjonerte myntmikseren, Tornado Cash.

Solana, NEAR Protocol og Axie Infinity har blitt utnyttet i 2022

Kryss‑kjede‑broer har blitt et knutepunkt for cyberkriminelle som leter etter å utnytte smutthull i DeFi‑protokoller for å stjele brukernes midler. Aurora Labs‑administrerende direktør avslørte i mandagsinnlegget at økning av sikkerhetsdepositumsummen tidligere ble vurdert som en måte å forhindre slike utnyttelser på. Denne tilnærmingen ble imidlertid til slutt forkastet fordi den ville gjøre «broen mer tillatelsesbasert» i konflikt med selskapets desentraliseringsmål.

Wormhole, en bro mellom Solana‑blokkjedet og andre desentraliserte finansnettverk, ble utsatt for en utnyttelse på 120 000 wETH (omtrent $320 millioner) i februar. Litt under to måneder senere så en annen DeFi‑hacking, denne gangen involverende Ronin Bridge, en angriper tømme 173 600 ETH og 25,5 millioner i USDC, til en verdi på omtrent $625 millioner. Sikkerhetsforskningsfirmaet SlowMist rapporterte nylig at aktører som utførte en av de største hackene i DeFi‑historien, har siden flyttet de stjålne eiendelene fra Ethereum‑nettverket til Bitcoin‑nettverket.

SlowMist rapporterer det siste om Axie Infinity sin Ronin‑bro‑hacking

SlowMists BliteZero observerte at midlene har blitt overført for å forvirre myndighetene som sporer midlene mens de prøver å avdekke gjerningspersonene bak utnyttelsen. I midtårsrapporten om blokkjedesikkerhet og AML‑analyse skrev firmaet at hackerne brukte ChipMixer og Blender, sanksjonert av USAs finansdepartement i mai, for å flytte de stjålne midlene til Bitcoin‑nettverket.

Sporing av midlene

SlowMist‑rapporten detaljerte at Lazarus‑gruppen, som får kreditt for dette angrepet, kanaliserte en del av sin ETH via kryptobørser. 5 029 ETH ble overført til kryptobørsen HTX, 1 219,98 ETH via FTX, og 667,39 ETH via Binance. Rapporten bemerker at totalt 6 249,98 ETH ble sendt til sentraliserte kryptobørser 28. mars.

Den nordkoreanske hackerkollektivet skal deretter ha sendt 439,78 BTC (uttatt via børser til Bitcoin‑nettverket) til den sanksjonerte Bitcoin‑mikseren Blender.io. Nå ble den enorme delen av denne stjålne beholdningen – 175 000 ETH – sendt til Tornado Cash mellom 4. april og 19. mai.

Etter Ronin‑angrepet sent på mars, ble Blender den første virtuelle valutamikseren som ble sanksjonert av USAs finansdepartements OFAC 6. mai. Faktisk bemerker blokkjederevisor BliteZero at de fleste av mikserens sanksjonerte adresser var innskuddsadresser knyttet til Ronin‑hackerne. US‑OFAC sa at over $20,5 millioner av kryptovaluta hacket fra Ronin‑broen ble kanaliserte via Blender, noe BliteZero har bekreftet tilsvarer et beregnet beløp på $20,72 millioner i disse adressene – de 439,78 BTC som ble uttatt via HTX og FTX.

Flere ETH‑til‑Bitcoin‑overføringer

Det er bekreftet at angriperne hacket private nøkler for å forfalske uttak. Utnyttelsen fortsatte med at den Tornado‑behandlede kryptovalutaen ble byttet til renBTC via UniSwap og 1inch. Siden Ren tillater overføring av eiendeler mellom blokkjedene, skal den kriminelle gruppen ha brukt protokollen og utnyttet renBTC for å fullføre eiendelsoverføringer mellom Ethereum‑ og Bitcoin‑nettverkene.

Etter uttak fra Ren‑protokollen ble mesteparten av den innpakkede BTC samlet og ytterligere skjult gjennom en overføring via Bitcoin‑blokkjedemiksere Wasabi Coinjoin og ChipMixer. Hackerne har siden 6. april overført inntektene til kryptomiksere som ChipMixer og Blender. Pengene som ble tatt ut via ChipMixer blir sendt til andre miksere, inkludert Coinjoin, Blender og ChipMixer. Resten av den innpakkede kryptovalutaen ble byttet til spot‑Bitcoin på kryptobørser som Binance, WhiteBit og Coinbase.

Populariteten til kryptomiksere

SlowMists rapport kommer i en periode hvor 2022 ser økt bruk av kryptomiksetjenester for å legge til rette for ulovlige finansaktiviteter. Disse myntmikserne gjør det mulig for brukere å skjule transaksjonshistorikken til kryptovalutaer ved å samle dem med andre brukeres midler. Gjennomsnittlig verdi av midler mottatt av mikserne nådde en rekordhøy topp på $52 millioner i kryptoverdi 19. april. Som en følge av hackingen har strengere reguleringer og tilsyn blitt innført på disse personvern‑fokuserte myntmikserverktøyene.