Ang Pinakamadilim na Oras ng WazirX: Isang Detalyadong Pagsusuri sa $230M na Hack at ang mga Kinalabasan

Ang mga Indian na gumagamit ng cryptocurrency ay nahihirapan habang ang centralized crypto exchange (CEX) na WazirX ay nagsusumikap na makahanap ng plano ng pagbangon para sa mga customer nito.

Ang WazirX ay isa sa mga nangungunang crypto exchange sa India, na may higit sa 16 milyong gumagamit. Noong Hulyo 18, ito ay na-hack ng $230 milyon.

Ang paglabag sa seguridad ay naapektuhan ang isa sa mga multi-sig wallet ng WazirX. Ang isang multi-sig wallet ay nangangailangan ng ilang tao upang pumirma sa isang transaksyon bago ito maisakatuparan. Sa kaso ng WazirX, ang wallet ay may limang tagapirma upang maprotektahan ang mga asset ng mga gumagamit.

Inalis ng attacker ang $100 milyon sa Shiba Inu (SHIB), $52 milyon sa Ether, $11 milyon sa MATIC, at $6 milyon sa PEPE. Ayon sa ulat ng Hunyo 2024, ang mga pondong ito ay kumakatawan sa higit sa 45% ng kabuuang reserba ng palitan na $500 milyon.

Ayon sa blockchain tracker na Lookonchain, ang nangalap ay nag-convert ng karamihan sa ninakaw na pondo sa Ethereum (ETH). Karaniwang gumagamit ang mga hacker ng mixing services tulad ng Tornado Cash upang i-convert ang mga token dahil maaari nitong itago ang aktibidad ng transaksyon.

Ngayon, hawak ng nangalap ang higit sa 59,097 ETH, na nagkakahalaga ng humigit-kumulang $200 milyon, sa iba’t ibang token. Ibinebenta nila ang ninakaw na mga token gamit ang popular na DEX na Uniswap.

Bilang resulta ng pag-atake, ang mga token na nakalista sa palitan ay nag-trade sa matarik na diskwento kumpara sa parehong lokal at pandaigdigang presyo dahil sa kakulangan ng liquidity. Ang palitan ay huminto na sa lahat ng trading at pag-withdraw ng crypto at fiat sa platform. Halos dalawang linggo na ang nakalipas mula nang ma-hack ang WazirX, at nananatiling naka-pause ang mga aktibidad.

Sa lahat ng naka-freeze sa palitan, ang BTC/USDT ay nagte-trade sa 64,052 sa WazirX kumpara sa 66,687 sa CoinDCX. Samantala, ang USDT/INR ay nagte-trade sa 88.64 sa CoinDCX habang 68.40 naman sa WazirX. Ang native token ng palitan, WZX, ay bumaba ng 36.24% mula nang ma-atake ang palitan.

Pinaghihinalaan naming pinalitan ang payload upang ilipat ang kontrol ng wallet sa isang attacker.

“We suspect the payload was replaced to transfer wallet control to an attacker.”  

Samantala, inakusahan ng Liminal Custody ang WazirX sa pag-atake, sinasabing hindi nasira ang kanilang imprastruktura.

“Unfortunately three of the victims machines have been found injecting malicious payloads into the transaction indicating a sophisticated, well planned and targeted attack on one specific Gnosis Smart Contract Multi-Sig wallet.”

– Liminal sa X

Gayunpaman, hindi lahat ay nasisiyahan sa mga paliwanag at sa laro ng sisihan. Ayon kay Pankaj Tanwar, isang kilalang crypto YouTuber sa X:

“This mistake will damage #Crypto in India beyond imagination.”

WazirX Pinuna dahil sa “Socialized Loss Strategy”

Dahil sa proporsyon ng ninakaw na pondo kumpara sa kabuuang reserba, kaunti ang inaasahan na mababawi ito, at kasama pa ang katotohanang ang nangalap ay konektado sa North Korea, lubos nitong pinawi ang anumang pag-asa sa pag-recover.

Habang inilabas ng palitan ang $23 milyong bounty para sa isang solusyon na nakatanggap ng mahigit 130 na entry, nagsimula na itong mag-eksplora sa pamamahagi ng mga buo pang pondo.

Para dito, tinitingnan ng WazirX ang pagbabalik ng 55% ng mga crypto holdings habang nilalock ang natitira sa mga token na katumbas ng USDT, kahit na ang mga token ng mga gumagamit ay ninakaw man o hindi. Ibig sabihin, kahit ang mga gumagamit na hindi nagkaroon ng pagkalugi sa hack ay magkakaroon lamang ng access sa 55% ng kanilang mga asset habang ang natitira ay iko-convert sa stablecoins at ilalock.

Ang palitan ay ngayon humaharap sa karagdagang pagsusuri at init mula hindi lamang sa mga customer nito kundi pati na rin sa malawak na industriya dahil sa “Withdrawal Management Programme: Opinion Poll.”

Isinagawa ang poll noong Hulyo 27, kung saan ipinakilala ng palitan ang “socialized loss strategy” upang pantay-pantay na ipamahagi ang epekto sa lahat ng gumagamit. Pinapayagan ng estratehiyang ito ang mga gumagamit na agad ma-access ang karamihan ng kanilang mga asset habang “pinananatili ang posibilidad ng karagdagang pag-recover para sa mga pipiliing maghintay.”

Sa ilalim ng poll na ito, hiningi sa mga customer na bumoto sa dalawang magkaibang opsyon. Sa isang opsyon, nakakakuha ang mga gumagamit ng access sa karamihan ng kanilang pondo para sa trading, ngunit maaari rin nila itong i-withdraw. Gayunpaman, sila ay pangalawang prayoridad sa anumang nabawi na pondo. Sa kabilang banda, ang ibang opsyon ay hindi nagpapahintulot ng withdrawals, ngunit ang mga gumagamit ay unang prayoridad sa mga proceeds ng pag-recover.

Ang mungkahing ito ay nagdulot ng kritisismo sa WazirX mula sa mga gumagamit nito, kung saan may nagsabi, “socialized loss, privatized profits.” May isa pang nagtanong kung bakit dapat parusahan ang mga gumagamit na may hindi ninakaw na token.

Nagpahayag din ng kanilang opinyon ang mga kakumpitensyang crypto exchange tungkol sa pinakabagong hakbang ng WazirX, kung saan sinabi ng co-founder ng CoinDCX na si Sumit Gupta na ang desisyong ito ay “hindi community-first.” Ayon kay Gupta, ang paraan ng paghawak ng WazirX sa sitwasyon ay “hindi magiging maganda para sa kanila,” at idinagdag pa na ito ay “nakakasakit din sa ibang kalahok ng ekosistema.”

Sinabi ni Arjun Vijay, co-founder ng Giottus, na ang poll ng WazirX ay “hindi nasa pinakamabuting interes ng ekosistema” dahil ito ay “dinisenyo upang pilitin ang mga customer” na pumili ng opsyon upang makakuha ng prayoridad sa mga proceeds ng pag-recover.

Ibinahagi rin ni Dr. Sathvik Vishwanath, co-founder ng Unocoin, ang kanyang pagkadismaya sa paraan ng paghawak sa isyu, sinasabing ito ay “lalo pang nagpapalala sa sitwasyon” habang ang pangyayari ay naglagay na ng industriya ng crypto “sa kaguluhan.”

Ipagtanggol ng WazirX ang sarili, sinasabing ang poll ay hindi “legal na nakatali” kundi isang hakbang lamang sa pagsisikap ng palitan na maunawaan kung ano ang nais ng mga customer. Patuloy na kokolektahin ng palitan ang mga ideya at feedback mula sa mga gumagamit.

Sa pagtalakay sa dahilan ng plano nitong ibahagi ang mga pagkalugi, ibinahagi ng VP ng WazirX na si Rajagopal Menon na pinag-aralan nila ang ibang malalaking exchange na kinailangan humarap sa katulad na sitwasyon. Ang dalawang pangunahing hack na sinuri ay ang Mt. Gox at Bitfinex.

Minsan na kinokonsidera ang karamihan ng mga transaksyon ng Bitcoin, ang Mt. Gox ay na-hack noong 2014 kung saan 850,000 BTC ang nawala. Pagkatapos ng insidente, nag-bankrupt ang Mt. Gox, at sampung taon lamang pagkatapos, noong Hulyo 2024, nagsimulang makatanggap ang mga gumagamit ng maliit na bahagi ng kanilang orihinal na pag-aari.

Pagkatapos ay ang Bitfinex, na nawala ng 119,756 BTC sa isang hack noong 2016. Hinarap ng palitan ang sitwasyon sa pamamagitan ng pagkalat ng pagkalugi sa lahat ng gumagamit, pagbawas ng balanse ng 36%, at pagbibigay sa mga customer nito ng BFX token na kumakatawan sa kanilang pagkalugi.

Mas Maraming Opsyon at Pati ang Pondo ng ED Nakakandado sa WazirX

Bukod sa “socialized loss strategy,” nag-iimbestiga ang palitan ng iba pang opsyon, kabilang ang paghingi ng tulong sa Binance. Lumapit ang WazirX sa dating partner nito upang tulungan ang mga customer, ayon sa ulat ng lokal na media outlet na Moneycontrol na nagbanggit ng isang hindi pinangalanang source.

Sinabi rin ng mga industry source na kontrolado ng Binance ang labis na kita ng palitan pati na rin ang halos $80 milyon ng WRX token nito. Iniulat na sinabi ng source:

“Their legal dispute is still ongoing. There are components of WazirX’s business which are still under Binance’s control, including the revenue — the surplus of it. Even its WRX token is under their control. So they have reached out to Binance and the talks are on but at early stages.”

Sa proof-of-reserves report nito mula Enero 2023, inihayag ng WazirX na 90% ng mga asset ng mga gumagamit ay nakalagay sa mga Binance wallet. Ilang buwan pagkatapos, sa isang blog post, sinabi ng WazirX na ang native token nito ay kontrolado ng Binance, dahil isinagawa ng huli ang WRX IEO kung saan 108,401 BNB token na nagkakahalaga ng $2 milyon ang nabenta, at ang mga kinita ay “kinolekta at pinanatili ng Binance.”

Nangyari ang lahat ng ito matapos ang pampublikong alitan sa X ng co-founder ng WazirX na si Nischal Shetty kay Binance CEO Changpeng Zhao tungkol sa kung sino ang kumokontrol sa WazirX. Nakakatuwang tandaan na noong Nobyembre 2019, sinabi ng pinakamalaking exchange sa mundo, ang Binance, na binili nito ang WazirX ngunit nagbago ang kwento nang, sa tag-init ng 2022, sumalakay ang mga opisyal ng India sa opisina ng WazirX sa Mumbai dahil sa hinala ng money laundering.

Bilang tugon, nag-freeze ang Enforcement Directorate (ED) ng India sa mga pondo ng WazirX, at inanunsyo ng Ministry of Finance ng bansa ang isang imbestigasyon sa palitan alinsunod sa Foreign Exchange Management Act (FEMA).

Ngayon, ayon sa mga ulat, halos $1.1 milyon ng mga nakumpiskang crypto asset ng ED ay nasa WazirX. Ang mga pondong ito na nakumpiska sa isang kaso ng korapsyon laban sa gaming app na tinatawag na E-Nuggets ay inilipat sa palitan ilang buwan bago ang hack.

Iniulat ng Indian news outlet na The Print na matapos ang imbestigasyon sa E-Nuggets, hiniling ng ED sa lahat ng lokal na crypto exchange, kabilang ang WazirX at CoinDCX, na tulungan hanapin ang mga source account. Ito ay nagdala sa pagkakatuklas ng Virtual Payment Address (VPA) na ginamit para bumili ng crypto. Bilang resulta, nag-freeze ang ED sa lahat ng pondo sa 70 crypto account na pinamamahalaan ng ZebPay, WazirX, at Binance na nakabase sa Dubai.

Kaya, matapos makuha ang crypto, nagbukas ang mga opisyal ng crypto account para sa ED at inilipat ang lahat ng crypto kasama ang WazirX dahil lokal ang palitan at may pinakamalaking base ng gumagamit at liquidity. Ngunit ngayon, na-hack ang WazirX at nawala ang 45% ng pondo nito. Interesante kung lalapit ba ang mga awtoridad at magbibigay ng gabay at tulong sa industriya.

Hindi naman bihira ang mga hack sa crypto space. Noong nakaraang taon, nagnakaw ang mga attacker ng $1.7 bilyon mula sa mga crypto platform, ayon sa ulat ng Chainalysis crypto crime. Bagaman ang halagang ninakaw sa mga ganitong pag-atake ay higit sa kalahati mula noong 2022, tumaas ang bilang ng mga pag-atake mula 219 noong 2022 hanggang 231 noong 2023.

Habang tumaas ang presyo ng crypto sa buong taon, bumalik ang mga hacker sa aksyon, na may $1.48 bilyon na ninakaw ngayong taon hanggang Hunyo 24, 2024, kumpara sa $657 milyon noong nakaraang taon, ayon sa TRM Labs. Gayunpaman, ang limang nangungunang exploit ay kumakatawan sa hanggang 70% ng kabuuang ninakaw na halaga. Ayon sa ulat:

“Private key and seed phrase compromises remain a top attack vector in 2024 alongside smart contract exploits and flash loan attacks.”

Kaya, habang patuloy ang mga hack sa crypto, nabigong magbigay ang pamahalaan ng India ng malinaw at itinatag na mga alituntunin upang hindi mag-operate nang hindi malinaw ang mga palitan.

Hindi Matatag at Walang Regulasyon na Industriya ng Crypto sa India 

Pagkatapos ng malaking insidente, ilang exchange ang nakipagtulungan sa WazirX upang matulungan itong subaybayan ang ninakaw na pondo at mabawi ang mga asset ng customer. Upang mas malalim na suriin ang cyber attack, nakipagtulungan din ang kumpanya sa mga forensic expert at ahensya ng pagpapatupad ng batas upang matukoy at mahuli ang mga salarin.

Ipinagbigay-alam pa ng palitan ang insidente sa Indian Computer Emergency Response Team (CERT-In), na ahensya na responsable sa mga insidente ng seguridad na may kinalaman sa computer. Sa susunod na hakbang, nagsumite ng First Information Report (FIR), na inihanda ng pulisya upang simulan ang opisyal na imbestigasyon.

Ipinadala rin ng WazirX ang ulat ng insidente sa Financial Integrity Unit (FIU)-India, kung saan ito nakarehistro at nasasakupan ng Finance Ministry. Gayunpaman, ang security breach ng WazirX ay hindi sakop ng saklaw ng FIU dahil minomonitor ng FIU ang mga transaksyon alinsunod sa Prevention of Money Laundering Act (PMLA) ng bansa. Ayon kay Joanna Cheng, Associate General Counsel sa Fireblocks:

“There is no crypto-specific regulation in India so far, and the industry would benefit from clear regulatory expectation on issues like security standards, risk management, and consumer protection. Regulatory intervention in this space would also mean that exchanges that service large numbers of retail customers are held accountable for their actions (or inaction).”

Ang industriya ng cryptocurrency sa India ay nananatiling walang regulasyon. Ang tanging malaking hakbang na ginawa sa panahong ito ay ang desisyon ng Korte Suprema noong 2020 na binawi ang pagbabawal ng Reserve Bank of India noong 2018, na nagpapahintulot sa mga bangko na magpadali ng crypto transaction mula sa mga gumagamit at exchange.

Bukod dito, ang pag-unlad ng regulasyon ng crypto sa bansa ay hindi umusad. Hanggang ngayon, walang batas na naipasa upang i-regulate ang sektor, at ang crypto ay nananatiling pangunahing nasa labas ng saklaw ng mga awtoridad.

Ang tanging regulasyong pangangasiwa na umiiral ay mula sa FIU ng pamahalaan ng India, na may tungkulin na subaybayan ang trading ng virtual digital assets. Ayon sa ulat ng Economic Times mula Mayo ngayong taon, 47 na regulated entity sa bansa ang kasangkot sa trading o paghawak ng crypto assets sa India. Ito ay matapos ipagbawal ng pamahalaan ang mga offshore crypto platform na mag-operate sa India dahil sa hindi pagsunod sa anti-money laundering (AML) guidelines.

Bagaman walang regulasyong proteksyon para sa mga crypto user ng India, nagpatupad ang pamahalaan ng buwis na umabot hanggang 30% sa kita mula sa pagbebenta ng crypto, nang walang pinapayagang offset ng mga pagkalugi. Bilang karagdagan, 1% na buwis ang ibinabawas mula sa pinagmulan sa bawat transaksyon.

Ang mga patakarang ito ay negatibong nakaapekto sa industriya, kung saan nagrereklamo ang mga crypto user tungkol sa kakulangan ng suporta mula sa gobyerno na pumipigil sa industriya habang kumukuha ng malaking bahagi ng kanilang kita bilang buwis mula pa noong 2022.

Matagal nang naghihirap ang industriya ng crypto sa India dahil sa kawalan ng malinaw na regulasyon, na nagdulot ng pagdami ng masasamang aktor. Habang ang WazirX ay nasailalim sa cyber attack, nagrereklamo rin ang mga user tungkol sa mga exchange tulad ng BitBNS sa panlilinlang sa mga tao.

Ang FIU-India na rehistradong entidad, na nag-aadvertise na sumusunod sa FATF global standards para sa VASPs, ay nagkaroon din ng $7.5 milyong hack noong 2022. Mula noon, kumikilos ang BitBNS nang mapanlinlang, pinapayagan ang mga user na magdeposito ng pondo ngunit hindi pinapayagan ang withdrawals. Pinaniniwalaan ng mga user na ang CEO nito, si Gaurav Dahake, ay umalis na sa bansa.

Noong unang bahagi ng taon, sa isang panayam sa The Economic Times, hinulaan ni Dahake na lalagpas ang BTC sa $100K. Kasalukuyang iniimbestigahan ng mga biktima ang isang class action lawsuit laban sa exchange.

Ngunit hindi pa dito nagtatapos. Ang mga crypto exchange sa India, kabilang ang CoinDCX, ay hindi pinapayagan ang mga user na mag-self-custody ng crypto, na lubos na salungat sa ethos ng crypto. Hindi pinapayagan ng mga Indian crypto exchange ang paglipat ng crypto sa labas ng mga exchange o wallet kung ang mga user ay nagdeposito ng fiat. Pinalalala nito ang problema dahil hindi makakapag-self-custody ang mga user kahit nais nila, at nangangahulugan ito na hindi nila mapoprotektahan ang sarili mula sa mga pangyayaring tulad ng hack ng WazirX.

Maaaring magbago na ang mga bagay, gayunpaman, dahil iniulat na ang pinakamataong bansa sa mundo ay nagpaplanong maglathala ng discussion paper na naglalahad ng kanilang patakaran sa crypto bago ang Setyembre. Subalit, maraming beses nang sinubukan ng gobyerno na i-regulate ang crypto, ngunit wala pang konkretong hakbang na ginawa, hindi tulad ng malinaw na gabay na ipinakilala ng mga regulator sa buong mundo. Pati ang US ay inaprubahan na ang kanilang unang Bitcoin spot ETF, na nakakuha ng milyun-milyong dolyar na kabuuang pagpasok.

Kaya, hanggang sa magpasya ang pamahalaan ng India na bigyan ng atensyon at malinaw na regulasyon ang industriya ng crypto, magpapatuloy ang pagdurusa ng mga lokal na crypto user at ng sektor.

I-click dito para sa listahan ng limang pinakamahusay na crypto exchange.