WazirX:s mörkaste timme: En detaljerad titt på $230M‑hacken och dess efterspel

Indiska kryptovalutaanvändare har det svårt eftersom den centraliserade kryptobörsen (CEX) WazirX kämpar för att hitta en återhämtningsplan för sina kunder.

WazirX är en av de ledande kryptobörserna i Indien, med en användarbas på mer än 16 miljoner. Den 18 juli, den blev hackad för $230 miljoner. 

Säkerhetsintrånget påverkade en av WazirX:s multi‑sig‑plånböcker. En multi‑sig‑plånbok kräver att flera personer signerar en transaktion innan den kan genomföras. I WazirX:s fall hade plånboken fem signatörer för att säkra användarnas tillgångar. 

Angriparen tömde $100 miljoner i Shiba Inu (SHIB), $52 miljoner i Ether, $11 miljoner i MATIC och $6 miljoner i PEPE. Enligt rapporten från juni 2024 utgjorde dessa medel mer än 45 % av börsens totala reserver på $500 miljoner. 

Enligt blockkedjespårningsverktyget Lookonchain konverterade förövaren de flesta av de stulna medlen till Ethereum (ETH). Hackare använder vanligtvis mixningstjänster som Tornado Cash för att konvertera tokens eftersom de kan dölja transaktionsaktivitet. 

Förövaren har nu mer än 59 097 ETH, värda omkring $200 miljoner, i olika tokens. De har sålt de stulna tokenarna via den populära DEX:en Uniswap.

Som en följd av attacken handlades tokenarna som listas på börsen till kraftiga rabatter jämfört med både lokala och globala priser på grund av brist på likviditet. Börsen stoppade sedan all handel samt kryptovaluta- och fiatuttag på plattformen. Det har gått nästan två veckor sedan WazirX blev hackad, och aktiviteterna förblir pausade.

Med allt fryst på börsen handlas BTC/USDT till 64 052 på WazirX jämfört med 66 687 på CoinDCX. Samtidigt handlas USDT/INR till 88,64 på CoinDCX medan den är 68,40 på WazirX. Börsens inhemska token, WZX, har under tiden fallit med 36,24 % sedan börsen blev attackerad.

När det gäller vad som inträffade skyllde börsen på en ”mismatch” mellan informationen som visas på Liminal Custodys digitala gränssnitt och de faktiska innehållen i den signerade transaktionen. Börsen sade i ett inlägg:

“Vi misstänker payloaden ersattes för att överföra plånbokskontrollen till en angripare.”  

Samtidigt, Liminal Custody skyldade WazirX för attacken, och sade att dess infrastruktur inte hade brutits.

“Tyvärr har tre av offrens maskiner hittats injicera skadlig kod i transaktionen, vilket indikerar en sofistikerad, välplanerad och riktad attack mot en specifik Gnosis Smart Contract Multi‑Sig‑plånbok.”

– Liminal på X

Dock är inte alla nöjda med förklaringarna och skuldbeläggningen. Enligt Pankaj Tanwar, en populär kryptoyoutuber på X:

“Detta misstag kommer att skada #Crypto i Indien bortom föreställningarna.”

WazirX kritiserad för sin ”Socialiserade förluststrategi”

Med tanke på andelen stulna medel i förhållande till de totala reserverna finns det liten förväntan på att få tillbaka någon av dem, vilket, i kombination med att förövaren har  blivit  kopplad till Nordkorea, har kraftigt krossat alla återhämtningsförhoppningar. 

Medan börsen har släppt en belöning på $23 miljoner för en lösning som fick över 130 bidrag, har den börjat undersöka distributionen av intakta medel. 

För detta undersöker WazirX att återlämna 55 % av kryptoinnehaven samtidigt som resten låses i USDT‑ekvivalenta token, oavsett om användarnas token var stulna eller inte. Detta betyder att även de användare som inte drabbades av förluster i hacken bara får tillgång till 55 % av sina tillgångar medan resten konverteras till stablecoins och låses.

Börsen står nu inför ytterligare granskning och kritik, inte bara från sina kunder utan även från hela branschen, på grund av detta ”Withdrawal Management Programme: Opinion Poll”.

Omröstningen genomfördes den 27 juli, under vilken  börsen introducerade en ”socialiserad förluststrategi för att fördela påverkan rättvist bland alla användare.” Denna strategi möjliggör användare omedelbar tillgång till majoriteten av sina tillgångar samtidigt som ”upprätthålla möjligheten till ytterligare återhämtning för dem som väljer att vänta.”“

I denna omröstning ombads kunderna rösta på två olika alternativ. I det ena alternativet får användarna tillgång till majoriteten av sina medel för handel, men de kan också ta ut dem. Däremot får de sekundär prioritet till återvunna medel. I kontrast tillåter det andra alternativet inte uttag, men användarna får förstahandsprioritet för återvinningsutdelningar.

Detta förslag ledde till att WazirX fick kritik från sina användare, där en sade: “socialiserad förlust, privatiserade vinster.” En annan ifrågasatte varför användare med icke‑stulna token skulle straffas.

Rivaliserande kryptobörser uttryckte också sina åsikter om WazirX:s senaste drag, där CoinDCX:s medgrundare Sumit Gupta sade att detta ”inte är community‑först” beslut. Sättet WazirX hanterar situationen ”kommer inte att gå bra för dem,” sade Gupta, och tillade att det också ”skadar de andra ekosystemdeltagarna.”

Arjun Vijay, medgrundare av Giottus, sade att WazirX:s omröstning ”inte är i ekosystemets bästa intresse” eftersom den ”är utformad för att tvinga kunder” att välja alternativet för att få prioritet till återvinningsutdelningar.

Unocoin:s medgrundare Dr. Sathvik Vishwanath delade också sin besvikelse över hur frågan hanteras, och sade att det bara ”förvärrar situationen” när händelsen redan har satt kryptobranschen ”i trubbel”.

WazirX försvarade sig och sade att omröstningen inte var ”juridiskt bindande” utan snarare bara ett steg i börsens ansträngning att förstå vad kunderna vill ha. Börsen kommer fortsätta samla idéer och feedback från användarna.

När det gäller anledningen till deras plan att dela förlusterna, delade WazirX:s VP Rajagopal Menon att de studerade andra stora börser som hade hanterat liknande situationer. De två stora hacken som granskades var Mt. Gox och Bitfinex. 

När man räknar med majoriteten av Bitcoin-transaktionerna, blev Mt. Gox hackad 2014 i vilken 850 000 BTC förlorades. Efteråt gick Mt. Gox i konkurs, och det var först ett decennium senare, i juli 2024, som användare började få en liten del av sina ursprungliga innehav. 

Sedan fanns Bitfinex, som förlorade 119 756 BTC i ett hack 2016. Börsen hanterade situationen genom att sprida förlusten över alla användare, minska saldon med 36 % och ge sina kunder BFX‑token som representerade deras förluster. 

Fler alternativ & även ED:s medel fast i WazirX

Förutom ”socialiserad förluststrategi,“ börsen har utforskat andra alternativ, inklusive att be Binance om hjälp. WazirX vände sig till sin tidigare partner för att hjälpa sina kunder, enligt en rapport från den lokala mediekanalen Moneycontrol, som citerade en anonym källa. 

Branschkällor sade också att Binance kontrollerar ett överskott av börsens intäkter samt omkring $80 mln av dess WRX‑token. Källan har rapporterats säga:

“Deras juridiska tvist pågår fortfarande. Det finns komponenter av WazirX:s verksamhet som fortfarande är under Binances kontroll, inklusive intäkterna — överskottet av dem. Även dess WRX‑token är under deras kontroll. Så de har kontaktat Binance och samtalen pågår men är i ett tidigt skede.“

I sin proof‑of‑reserves‑rapport från januari 2023 avslöjade WazirX att 90 % av dess användartillgångar hålls i Binance‑plånböcker. Några månader senare, i ett blogginlägg, sade WazirX att dess inhemska token kontrolleras av Binance, eftersom den senare genomförde WRX‑IEO:n under vilken 108 401 BNB‑token värda $2 mln såldes, vars intäkter ”samlades in och behölls av Binance”.

Allt detta kom efter att WazirX:s medgrundare Nischal Shetty hade en offentlig X‑disput med Binance‑VD Changpeng Zhao om vem som kontrollerar WazirX. Intressant nog, redan i november 2019, sade världens största börs, Binance, att den hade köpt WazirX bara för att berättelserna skulle förändras när, sommaren 2022, indiska myndigheter raiderade WazirX:s kontor i Mumbai på misstanke om penningtvätt.

Som svar frös Indiens Enforcement Directorate (ED) WazirX:s medel, och landets Finansdepartement meddelade en undersökning av börsen under Foreign Exchange Management Act (FEMA).

Nu tyder rapporter på att även ED hade nästan $1,1 miljon i beslagtagna kryptotillgångar på WazirX. Dessa medel som var beslagtagna i ett korruptionsfall mot en spelapp kallad E‑Nuggets flyttades in i börsen bara några månader före hacken.

Den indiska nyhetskanalen The Print rapporterade att efter undersökningen av E‑Nuggets bad ED alla lokala kryptobörser, inklusive WazirX och CoinDCX, att hjälpa till att lokalisera källkontona. Detta ledde till upptäckten av den virtuella betalningsadressen (VPA) som användes för att köpa krypto. Som resultat frös ED alla medel i 70 kryptokonton som underhålls av ZebPay, WazirX och den i Dubai baserade Binance.

Så, efter att ha tagit kontroll över krypton öppnade myndigheterna ett kryptokonto för ED och överförde all krypto med WazirX på grund av att börsen är lokal och har den största användarbasen och likviditeten. Men nu har WazirX blivit hackad och har förlorat 45 % av sina medel. Det skulle vara intressant att se om myndigheterna skulle träda fram och slutligen erbjuda viss vägledning och hjälp till branschen.

Det är inte så att hack är ovanliga i kryptovärlden. Förra året stal angripare $1,7 miljarder från kryptoplattformar, enligt en Chainalysis‑rapport om kryptobrottrapport. Medan beloppet som stulits i sådana attacker har mer än halverats sedan 2022, ökade antalet sådana attacker från 219 år 2022 till 231 år 2023. 

När kryptopriserna steg över hela linjen i år, har hackare återvänt in handling, med $1,48 miljarder stulna i år av den 24 juni 2024, jämfört med $657 mln samma tid förra året, enligt TRM Labs. Dock stod de fem största exploaterna för så mycket som 70 % av den totala stulna summan. The report stated:

“Komprimeringar av privata nycklar och seed‑fraser förblir en huvudattackvektor 2024 tillsammans med smart‑kontrakts‑exploater och flash‑låneattacker.”

Så, medan kryptohack fortsätter, har den indiska regeringen misslyckats med att tillhandahålla tydliga, etablerade riktlinjer så att dessa börser inte opererar med otydlighet.

Indiens instabila & oreglerade kryptobransch 

Efter den stora incidenten samarbetade flera börser med WazirX för att hjälpa till att spåra de stulna medlen och återfå kundtillgångar. För att analysera cyberattacken djupare samarbetade företaget också med forensiska experter och brottsbekämpande myndigheter för att identifiera och fånga förövarna.

Börsen har dessutom rapporterat incidenten till den indiska Computer Emergency Response Team (CERT‑In), som är en myndighet ansvarig för datorrelaterade säkerhetsincidenter. I nästa steg lämnades en First Information Report (FIR), som förbereddes av polisen för att inleda en officiell undersökning. 

WazirX skickade också incidentrapporten till Financial Integrity Unit (FIU)-India, som den är registrerad hos och som faller under Finansministeriet. Dock faller WazirX:s säkerhetsintrång inte under FIU:s ansvarsområde eftersom FIU övervakar transaktioner enligt landets Prevention of Money Laundering Act (PMLA). Enligt Joanna Cheng, Associate General Counsel på Fireblocks:

“Det finns ingen kryptospecifik reglering i Indien hittills, och branschen skulle gynnas av tydliga regulatoriska förväntningar kring frågor som säkerhetsstandarder, riskhantering och konsumentskydd. Regulatoriskt ingripande i detta område skulle också innebära att börser som betjänar ett stort antal detaljkunder hålls ansvariga för sina handlingar (eller brist på handling).“

Kryptovalutabranschen i Indien förblir oreglerad. Det enda stora steget som togs under denna period var ett Högsta domstolsbeslut 2020 som upphävde Reserve Bank of Indias förbud 2018, vilket möjliggjorde för banker att underlätta kryptotransaktioner från användare och börser. 

Förutom det har landets regulatoriska utveckling av krypto stått stilla. Hittills har ingen lagstiftning antagits för att reglera sektorn, och krypto förblir i huvudsak utanför myndigheternas ansvarsområde. 

Den enda regulatoriska tillsynen som finns kommer från Indiens regerings FIU, som har i uppdrag att övervaka handel med virtuella digitala tillgångar. Enligt en Economic Times rapport från maj i år, 47 reglerade enheter i landet är involverade i handel eller hantering av kryptotillgångar i Indien. Det skedde efter att regeringen förbjöd offshore-kryptoplattformar från att verka i Indien på grund av bristande efterlevnad av anti‑penningtvätt (AML)‑riktlinjer. 

Medan det inte finns något regulatoriskt skydd för Indiens kryptoanvändare, har regeringen infört skatter så höga som 30 % på vinster från försäljning av krypto, utan möjlighet att kvitta förluster. Dessutom tas en 1 % skatt av källan för varje transaktion. 

Dessa policies har negativt påverkat branschen, med kryptoanvändare som klagar på bristen på statligt stöd som kväver industrin samtidigt som den tar en enorm del av deras vinster i skatter sedan 2022.

Indiens kryptobransch har länge lidit av brist på regulatorisk klarhet, vilket har lett till en ökning av dåliga aktörer. Medan WazirX har drabbats av en cyberattack, har användare också klagat på börser som BitBNS för att lura människor. 

Den FIU‑India‑registrerade enheten, som annonserar sig som kompatibel med FATF:s globala standarder för VASP, drabbades också av ett hack på $7,5 miljoner 2022. Sedan dess har BitBNS agerat hundaktigt, tillåter användare att sätta in medel men möjliggör inte uttag. Användare spekulerar i att dess VD, Gaurav Dahake, har redan flytt landet. Tidigare i år, i en intervju med The Economic Times, förutsåg Dahake att BTC skulle överstiga $100 K. Offer utforskar för närvarande en klassrättslig rättegång mot börsen.

Men det är inte allt. Kryptobörser i Indien, inklusive CoinDCX, tillåter inte användare att självförvara krypto, vilket helt strider mot kryptos ethos. Indiska kryptobörser tillåter inte kryptotransferenser till externa börser eller plånböcker om användare gör fiatinsättningar. Detta förvärrar problemet ytterligare eftersom användare inte kan självförvara även om de vill, och det betyder att de inte kan skydda sig själva mot händelser som WazirX‑hacken.

Saker kan äntligen förändras, dock, med att världens mest befolkade land uppges planerar att publicera ett diskussionspapper som beskriver dess policyställning till krypto före september. Dock har regeringen försökt reglera krypto många gånger, men inga konkreta steg har tagits hittills, till skillnad från de tydliga riktlinjer som införts av tillsynsmyndigheter världen över. Även USA har godkänt sin första Bitcoin spot‑ETF, som har lockat miljontals dollar i totala inflöden.

Så, tills den indiska regeringen beslutar att ge kryptobranschen den uppmärksamhet och regulatoriska klarhet den behöver, kommer lokala kryptoanvändare och sektorn fortsätta att lida.

Klicka här för en lista över de fem bästa kryptobörserna.