Uppdatering om Ronin Bridge‑exploiten: Korskedjebroattacker är fortfarande ett bekymmer

Aurora Labs VD Alex Shevchenko delade på måndag (12 aug) i ett 15‑delat Twitter‑inlägg detaljer om ett misslyckat angrepp mot Rainbow Bridge under helgen. Angreppet stoppades av automatiserade vakthundar på under en minut, vilket minskade angriparens säkerhetsdeposition på cirka 8 000 $. Angriparen försökte stjäla medel från den trustless‑bron – som inte använder utvalda mellanhänder – på lördag, troligen i hopp om en fördröjd eller långsam reaktion.

Posing as a Rainbow Bridge relayers sending info on NEAR blocks to Ethereum, the attacker tried to submit a fabricated NEAR block to its smart contract. The försökta exploatet upptäcktes och undertrycktes dock av protokollets automatiserade försvar inom fyra Ethereum‑block – 31 sekunder – vilket minskade den erforderliga säkerhetsdepositionen på 5 ETH. I maj avvärjdes en liknande händelse på NEAR Protocol Rainbow Bridge utan förlust av några användarmedel. Shevchenko noterade då att angreppet initierades med en insättning via den nu sanktionerade myntblandaren, Tornado Cash.

Solana, NEAR Protocol och Axie Infinity har utnyttjats 2022

Korskedjebroar har blivit ett grogrund för cyberkriminella som söker utnyttja luckor i DeFi‑protokoll för att stjäla användares medel. Aurora Labs VD avslöjade i måndagsinlägget att en ökning av säkerhetsdepositionen tidigare hade övervägts som ett sätt att förhindra sådana exploater. Detta tillvägagångssätt avfärdades dock så småningom eftersom det skulle göra ”bron mer tillståndsgiven” i konflikt med företagets decentraliseringssträvan.
Wormhole, en bro mellan Solana‑blockkedjan och andra decentraliserade finansnätverk, drabbades av ett exploit för 120 000 wETH (motsvarande cirka 320 miljoner $) i februari. Mindre än två månader senare såg en annan DeFi‑hack, den här gången involverande Ronin Bridge, en angripare tömma 173 600 ETH och 25,5 miljoner USDC, värt ungefär 625 miljoner $. Säkerhetsforskningsföretaget SlowMist rapporterade nyligen att de enheter som utförde vad som är en av de största hackarna i DeFi‑historien sedan dess har flyttat de stulna tillgångarna från Ethereum‑nätverket till Bitcoin‑nätverket.

SlowMist rapporterar det senaste om Axie Infinitys Ronin‑bridge‑hack

SlowMists BliteZero observerade att medlen har överförts för att förvilla myndigheter som spårar dem när de försöker avslöja förövarna bakom exploatet. I mitten av årets rapport om blockkedjesäkerhet och AML‑analys skrev företaget att hackarna använde ChipMixer och Blender, sanktionerade av den amerikanska finansdepartementet i maj, för att flytta de stulna medlen till Bitcoin‑nätverket.

Spåra medlen

SlowMist‑rapporten detaljerade att Lazarus‑gruppen, som får ansvar för detta angrepp, kanaliserade en del av sin ETH via kryptobörser. 5 029 ETH överfördes till kryptobörsen HTX, 1 219,98 ETH via FTX och 667,39 ETH via Binance. Rapporten noterar att totalt 6 249,98 ETH skickades till centraliserade kryptobörser den 28 mars.

Det påstås att den nordkoreanska hackerkollektivet sedan skickade 439,78 BTC (uttagna via börser till Bitcoin‑nätverket) till den sanktionerade Bitcoin‑blandaren Blender.io. Nu skickades den enorma delen av detta stulna gömställe – 175 000 ETH – till Tornado Cash mellan 4 apr och 19 maj.

Efter Ronin‑attacken i slutet av mars blev Blender den första virtuella valutablandaren att sanktioneras av den amerikanska finansdepartementets OFAC den 6 maj. Faktum är att blockkedjeutredaren BliteZero noterar att de flesta av blandarens sanktionerade adresser var insättningsadresser kopplade till Ronin‑hackarna. US‑OFAC sade att över 20,5 miljoner $ i kryptovaluta som hackats från Ronin‑bron kanaliserades via Blender, vilket BliteZero har bekräftat motsvarar en beräknad summa på 20,72 miljoner $ på dessa adresser – de 439,78 BTC som togs ut via HTX och FTX.

Fler ETH‑till‑Bitcoin‑överföringar

Det har bekräftats att angriparen/arna hackade privata nycklar för att förfalska uttag. Exploatet fortsatte med att den Tornado‑behandlade krypton byttes mot renBTC via UniSwap och 1inch. Eftersom Ren möjliggör överföring av tillgångar mellan blockkedjor, sägs den kriminella gruppen ha använt protokollet och utnyttjat renBTC för att slutföra tillgångsöverföringar mellan Ethereum‑ och Bitcoin‑näten.
Efter uttag från Ren‑protokollet poolades den största delen av den inlindade BTC:n och gömdes ytterligare genom en överföring via Bitcoin‑blockkedjemixrarna Wasabi Coinjoin och ChipMixer. Hackarna har sedan den 6 apr överfört intäkterna till kryptomixrar som ChipMixer och Blender. Pengarna som togs ut via ChipMixer skickas till andra mixrar, inklusive Coinjoin, Blender och ChipMixer. Resten av den inlindade krypton byttes mot spot‑Bitcoin på kryptobörser som Binance, WhiteBit och Coinbase.

Populariteten för kryptovalutablandare

SlowMists rapport kommer i ett år 2022 där användningen av kryptomixningstjänster ökar för att underlätta olagliga finansiella aktiviteter. Dessa myntmixrar gör det möjligt för användare att dölja transaktionshistoriken för kryptovalutor genom att poola dem med andra användares medel. Det genomsnittliga värdet av medel som mottagits av mixrar nådde ett rekordhögt topp på 52 miljoner $ i kryptovaluta den 19 apr. Som en följd av hacken har strängare regler och tillsyn införts på dessa integritetsfokuserade kryptomixningsverktyg.