Digitale eiendeler
WazirX’s mørkeste time: En detaljert gjennomgang av $230M-hacket og ettervirkningene
Legg til Securities.io blant dine foretrukne kilder på Google
Indiske kryptovaluta-brukere har det vanskelig ettersom den sentraliserte kryptobørsen (CEX) WazirX sliter med å finne en gjenopprettingsplan for sine kunder.
WazirX er en av de ledende kryptobørsene i India, med en brukerbase på mer enn 16 millioner. 18. juli ble den hacket for $230 millioner.
Sikkerhetsbruddet påvirket en av WazirX sine multi‑signatur‑lommebøker. En multi‑sig‑lommebok krever at flere personer signerer en transaksjon før den kan gjennomføres. I WazirX sitt tilfelle hadde lommeboken fem signatører for å sikre brukernes eiendeler.
Angriperen tappet $100 millioner i Shiba Inu (SHIB), $52 millioner i Ether, $11 millioner i MATIC og $6 millioner i PEPE. Ifølge rapporten fra juni 2024 utgjorde disse midlene mer enn 45 % av børsens totale reserver på $500 millioner.
Ifølge blokkjede‑sporeren Lookonchain konverterte utnytteren mesteparten av de stjålne midlene til Ethereum (ETH). Hackere bruker vanligvis miksetjenester som Tornado Cash for å konvertere tokens fordi de kan skjule transaksjonsaktivitet.
Utnytteren har nå mer enn 59 097 ETH, verdt omtrent $200 millioner, i ulike tokens. De har solgt de stjålne tokenene via den populære DEX-en Uniswap.
Som følge av angrepet ble tokens listet på børsen handlet til kraftige rabatter både lokalt og globalt på grunn av mangel på likviditet. Børsen stoppet deretter all handel samt kryptovaluta‑ og fiat‑uttak på plattformen. Det har gått nesten to uker siden WazirX ble hacket, og aktivitetene forblir satt på pause.
Med alt frosset på børsen handles BTC/USDT til 64 052 på WazirX sammenlignet med 66 687 på CoinDCX. Samtidig handles USDT/INR til 88,64 på CoinDCX mens den er 68,40 på WazirX. Børsens egen token, WZX, har derimot falt med 36,24 % siden angrepet.
Når det gjelder hva som skjedde, la børsen skylden på en “mismatch” mellom informasjonen som ble vist på Liminal Custodys digitale grensesnitt og de faktiske innholdene i den signerte transaksjonen. Børsen sa i et innlegg:
“Vi mistenker at nyttelasten ble erstattet for å overføre lommebokkontrollen til en angriper.”
Samtidig la Liminal Custody skylden på WazirX for angrepet, og sa at deres infrastruktur ikke ble brutt.
“Dessverre har tre av offerets maskiner blitt funnet å injisere ondsinnet nyttelast i transaksjonen, noe som indikerer et sofistikert, godt planlagt og målrettet angrep på en spesifikk Gnosis Smart Contract Multi‑Sig‑lommebok.”
– Liminal på X
Imidlertid er ikke alle fornøyde med forklaringene og skylden. Ifølge Pankaj Tanwar, en populær kryptoyoutuber på X:
“Denne feilen vil skade #Crypto i India utover fantasien.”
WazirX kritisert for sin “Sosialiserte tap‑strategi”
Gitt andelen av stjålne midler i forhold til totale reserver, er det liten forventning om å få noen tilbake, og kombinert med at utnytteren har blitt knyttet til Nord‑Korea, har dette kraftig knust håp om gjenoppretting.
Mens børsen har lansert en premie på $23 millioner for en løsning som mottok over 130 bidrag, har den begynt å utforske distribusjonen av intakte midler.
For dette ser WazirX på å returnere 55 % av kryptoeiendommene mens resten låses i USDT‑ekvivalente tokens, uavhengig av om brukernes tokens ble stjålet eller ikke. Dette betyr at selv de brukerne som ikke led tap i hacken kun vil ha tilgang til 55 % av sine eiendeler, mens resten vil bli konvertert til stablecoins og låst.
Børsen står nå overfor ytterligere gransking og kritikk, ikke bare fra sine kunder, men også fra hele bransjen på grunn av dette “Withdrawal Management Programme: Opinion Poll”.
Avstemningen ble gjennomført 27. juli, i løpet av hvilken børsen introduserte en “sosialisert tap‑strategi for å fordele påvirkningen rettferdig blant alle brukere”. Denne strategien gir brukerne umiddelbar tilgang til majoriteten av sine eiendeler mens den “opprettholder muligheten for ytterligere gjenoppretting for de som velger å vente.”
I denne avstemningen ble kundene bedt om å stemme på to ulike alternativer. I det ene alternativet får brukerne tilgang til majoriteten av sine midler for handel, men de kan også ta dem ut. Imidlertid får de sekundær prioritet til eventuelle gjenopprettede midler. I kontrast tillater det andre alternativet ikke uttak, men brukerne får første prioritet til gjenopprettingsmidler.
Dette forslaget førte til at WazirX mottok kritikk fra sine brukere, med en som sa: “sosialiserte tap, privatiserte gevinster”. En annen spurte hvorfor brukere med ikke‑stjålne tokens skulle bli straffet.
Rivaliserende kryptobørser uttrykte også sine meninger om WazirX sin siste handling, med CoinDCX‑medgründer Sumit Gupta som sier at dette ikke er en “community‑first” beslutning. Måten WazirX håndterer situasjonen på “vil ikke bli godt mottatt for dem”, sa Gupta, og la til at det også “skader de andre økosystemdeltakerne.”
Arjun Vijay, medgründer av Giottus, sa at WazirX sin avstemning “ikke er i økosystemets beste interesse” fordi den er “utformet for å tvinge kunder” til å velge alternativet for å få prioritet til gjenopprettingsmidler.
Unocoin‑medgründer Dr. Sathvik Vishwanath delte også sin skuffelse over hvordan saken blir håndtert, og sa at det “kun forverrer situasjonen” når hendelsen allerede har satt kryptobransjen “i trøbbel”.
WazirX forsvaret seg selv, og sa at avstemningen ikke var “juridisk bindende”, men snarere bare et steg i børsens innsats for å forstå hva kundene ønsker. Børsen vil fortsette å samle ideer og tilbakemeldinger fra brukerne.
Når det gjelder årsaken til planen om å dele tapene, delte WazirX‑VP Rajagopal Menon at de studerte andre store børser som måtte håndtere lignende situasjoner. De to store hackene som ble undersøkt var Mt. Gox og Bitfinex.
Etter å ha håndtert majoriteten av Bitcoin‑transaksjonene, ble Mt. Gox hacket i 2014, hvor 850 000 BTC ble tapt. I etterkant gikk Mt. Gox konkurs, og det var først etter et tiår, i juli 2024, at brukerne begynte å motta en liten del av sine opprinnelige beholdninger.
Deretter var det Bitfinex, som mistet 119 756 BTC i et hack i 2016. Børsen håndterte situasjonen ved å spre tapet på tvers av alle brukere, redusere saldoene med 36 % og gi kundene sine BFX‑tokens som representerte deres tap.
Flere alternativer & selv EDs midler fast på WazirX
Bortsett fra “sosialisert tap‑strategi”, har børsen utforsket andre alternativer, inkludert å be Binance om hjelp. WazirX gikk til sin tidligere partner for å hjelpe med å redde sine kunder, ifølge en rapport fra den lokale mediekanalen Moneycontrol, som siterte en anonym kilde.
Bransjekilder sa også at Binance kontrollerer et overskudd av børsens inntekter samt omtrent $80 millioner av dens WRX‑token. Kilden skal ha sagt:
“Deres juridiske tvist pågår fortsatt. Det er komponenter av WazirX sin virksomhet som fortsatt er under Binances kontroll, inkludert inntektene — overskuddet av dem. Selv deres WRX‑token er under deres kontroll. Så de har kontaktet Binance og samtalene er i gang, men i tidlige stadier.”
I sin proof‑of‑reserves‑rapport fra januar 2023 opplyste WazirX at 90 % av brukernes eiendeler holdes i Binance‑lommebøker. Noen måneder senere, i et blogginnlegg, sa WazirX at deres egen token er kontrollert av Binance, ettersom sistnevnte gjennomførte WRX‑IEO‑en hvor 108 401 BNB‑tokens til en verdi av $2 millioner ble solgt, og inntektene “ble samlet inn og beholdt av Binance”.
Alt dette skjedde etter at WazirX‑medgründer Nischal Shetty hadde en offentlig X‑krangel med Binance‑administrerende direktør Changpeng Zhao om hvem som kontrollerer WazirX. Interessant nok, i november 2019 sa verdens største børs, Binance, at den hadde kjøpt WazirX, men historiene endret seg da indiske myndigheter i sommeren 2022 raidet WazirX sitt kontor i Mumbai på mistanke om hvitvasking.
Som svar frøs Indias Enforcement Directorate (ED) WazirX sine midler, og landets Finansdepartement kunngjorde en etterforskning av børsen under Foreign Exchange Management Act (FEMA).
Nå antyder rapporter at selv ED hadde nesten $1,1 million i konfiskerte kryptoeiendeler på WazirX. Disse midlene som ble konfiskert i en korrupsjonssak mot en spillapp kalt E‑Nuggets, ble flyttet inn i børsen bare måneder før hacken.
Den indiske nyhetskanalen The Print rapporterte at etter etterforskningen av E‑Nuggets ba ED alle lokale kryptobørser, inkludert WazirX og CoinDCX, om å hjelpe med å lokalisere kildekontoene. Dette førte til oppdagelsen av den virtuelle betalingsadressen (VPA) som ble brukt til å kjøpe krypto. Som et resultat frøs ED alle midlene i 70 kryptokontoer som ble opprettholdt med ZebPay, WazirX og den Dubai‑baserte Binance.
Så, etter å ha tatt kontroll over kryptoen, åpnet myndighetene en kryptokonto for ED og overførte all krypto med WazirX på grunn av at børsen er lokal og har den største brukerbasen og likviditeten. Men nå har WazirX blitt hacket og har mistet 45 % av sine midler. Det ville være interessant å se om myndighetene vil tre frem og endelig tilby veiledning og hjelp til bransjen.
Det er ikke slik at hack er uvanlige i kryptomarkedet. I fjor stjal angripere $1,7 milliard fra kryptoplattformer, ifølge Chainalysis crypto crime-rapporten. Mens beløpet som ble stjålet i slike angrep har mer enn halvert siden 2022, har antallet slike angrep økt fra 219 i 2022 til 231 i 2023.
Ettersom kryptopriser har steget over hele linjen i år, har hackere kommet tilbake i aksjon, med $1,48 milliard stjålet dette året per 24. juni 2024, sammenlignet med $657 millioner på samme tid i fjor, ifølge TRM Labs. Imidlertid utgjorde de fem største exploitene så mye som 70 % av det totale stjålne beløpet. Rapporten uttalte:
“Komprimering av private nøkler og seed‑fraser forblir en toppangrepsvektor i 2024 sammen med smart‑kontrakt‑eksploater og flash‑lån‑angrep.”
Så, mens kryptohack fortsatt pågår, har den indiske regjeringen mislyktes i å gi klare, etablerte retningslinjer slik at disse børsene ikke opererer med uklarhet.
Indias ustabile & uregulerte kryptobransje
Etter den store hendelsen samarbeidet flere børser med WazirX for å hjelpe med å spore de stjålne midlene og gjenopprette kundens eiendeler. For å analysere cyberangrepet mer grundig samarbeidet selskapet også med rettsmedisinske eksperter og rettshåndhevende myndigheter for å identifisere og pågripe gjerningspersonene.
Børsen har også rapportert hendelsen til Indian Computer Emergency Response Team (CERT‑In), som er en etat ansvarlig for datasikkerhets‑hendelser. I neste steg ble en First Information Report (FIR) innlevert, som ble utarbeidet av politiet for å starte en offisiell etterforskning.
WazirX sendte også hendelsesrapporten til Financial Integrity Unit (FIU)‑India, som den er registrert hos og som faller under Finansdepartementet. Imidlertid faller WazirX sitt sikkerhetsbrudd utenfor FIU‑s ansvarsområde ettersom FIU overvåker transaksjoner under landets Prevention of Money Laundering Act (PMLA). Ifølge Joanna Cheng, Associate General Counsel hos Fireblocks:
“Det finnes ingen kryptospesifikk regulering i India så langt, og bransjen ville ha nytte av klare regulatoriske forventninger på områder som sikkerhetsstandarder, risikostyring og forbrukerbeskyttelse. Regulatorisk inngripen i dette rommet vil også bety at børser som betjener et stort antall detaljkunder holdes ansvarlige for sine handlinger (eller mangel på handling).”
Kryptovaluta‑bransjen i India forblir uregulert. Det eneste store steget som ble tatt i denne perioden var en Høyesterettsdom i 2020 som opphevet Reserve Bank of Indias forbud fra 2018, og tillot banker å legge til rette for kryptotransaksjoner fra brukere og børser.
Utover dette har landets regulatoriske utvikling av krypto stått stille. Så langt har ingen lovgivning blitt vedtatt for å regulere sektoren, og krypto forblir i hovedsak utenfor myndighetenes jurisdiksjon.
Den eneste regulatoriske tilsynet som finnes er fra Indias FIU, som har oppgaven å overvåke handel med virtuelle digitale eiendeler. Ifølge en Economic Times rapport fra mai i år, er 47 regulerte enheter i landet involvert i handel eller håndtering av kryptoeiendeler i India. Dette skjedde etter at regjeringen forbød utenlandske kryptoplattformer fra å operere i India på grunn av manglende overholdelse av anti‑hvitelønnings‑retningslinjer (AML).
Selv om det ikke finnes regulatorisk beskyttelse for Indias kryptobrukere, har regjeringen pålagt skatter på opptil 30 % på fortjeneste fra salg av krypto, uten mulighet for å motregne tap. I tillegg trekkes 1 % skatt fra kilden for hver transaksjon.
Disse politikene har negativt påvirket bransjen, med kryptobrukere som klager over mangel på statlig støtte som kveler industrien mens den tar en stor del av deres fortjeneste i skatter siden 2022.
Indias kryptobransje har lidd under mangel på regulatorisk klarhet i lang tid, noe som har ført til en økning av dårlige aktører. Mens WazirX har vært utsatt for et cyberangrep, har brukere også klaget på børser som BitBNS for å svindle folk.
Den FIU‑India‑registrerte enheten, som annonserer seg som i samsvar med FATF‑globale standarder for VASP‑er, opplevde også et hack på $7,5 millioner i 2022. Siden da har BitBNS opptrådt uansvarlig, ved å tillate brukere å sette inn midler, men ikke muliggjøre uttak. Brukere spekulerer i at administrerende direktør, Gaurav Dahake, har allerede flyktet landet. Tidligere i år, i et intervju med The Economic Times, forutså Dahake at BTC ville overstige $100 K. Offerene utforsker nå en klasseaksjon mot børsen.
Men dette er ikke alt. Kryptobørser i India, inkludert CoinDCX, tillater ikke brukere å ha selvforvaring av krypto, noe som er helt i strid med kryptos etos. Indiske kryptobørser tillater ikke kryptotransaksjoner til eksterne børser eller lommebøker dersom brukere gjør fiat‑innskudd. Dette forverrer problemet ytterligere fordi brukere ikke kan ha selvforvaring selv om de ønsker det, og det betyr at de ikke kan beskytte seg mot hendelser som WazirX‑hacket.
Ting kan endelig endre seg, selv om verdens mest folkerike land tilsynelatende planlegger å publisere et diskusjonspapir som skisserer deres politiske ståsted om krypto før september. Imidlertid har regjeringen prøvd å regulere krypto mange ganger, men ingen konkrete tiltak har blitt tatt så langt, i motsetning til de klare retningslinjene som regulatorer rundt om i verden har introdusert. Selv USA har godkjent sin første Bitcoin spot‑ETF, som har tiltrukket millioner av dollar i totale innstrømninger.
Så, inntil den indiske regjeringen bestemmer seg for å gi kryptobransjen den oppmerksomhet og regulatoriske klarhet den trenger, vil lokale kryptobrukere og sektoren fortsette å lide.
