Ang Pinakamadilim na Oras ng WazirX: Isang Detalyadong Pagsusuri sa $230M na Hack at ang mga Kinalabasan

Noong Hulyo 2024, naharap ang mga customer ng WazirX sa pagkaantala ng pag-access sa kanilang mga asset matapos ang malaking cyberattack. Inilalarawan ng artikulong ito ang mga paunang ulat at panukala noong panahong iyon, hindi ang kasalukuyang katayuan ng pagbabayad.

Noong Hulyo 18, 2024, iniulat ng WazirX ang pagkawala ng higit US$230 milyon mula sa isang wallet. Ang bilang ng mga nakarehistrong gumagamit ay hindi katumbas ng bilang ng mga aktibong customer o taong direktang nawalan ng asset.

Ang multisignature wallet ay nangangailangan ng ilang cryptographic signature, hindi lamang pagsang-ayon ng ilang tao. Ayon sa WazirX, may anim na signatory: lima mula sa WazirX at isa mula sa Liminal. Karaniwang kailangan ang tatlong pirma ng WazirX at ang huling pirma ng Liminal.

Kabilang sa mga token na iniulat na nakuha ang SHIB, ETH, MATIC at PEPE. Ang mga halagang dolyar ay pagtataya sa oras ng insidente. Ang humigit-kumulang 45% ay paghahambing sa iniulat na reserba, hindi nangangahulugang pare-parehong porsiyento ng bawat token ang ninakaw.

Ayon sa mga pagsusuri sa blockchain, ipinagpalit ang ilang ninakaw na token sa ETH. Ang DEX ay maaaring gamitin para sa palitan ng token; ang mixer ay ibang serbisyo na naglalayong magpalabo ng ugnayan ng mga transaksyon. Hindi dapat ipagpalagay na bawat palitan ay dumaan sa Tornado Cash.

Ang iniulat na mahigit 59,097 ETH at katumbas na halaga ay isang snapshot ng mga address na sinusubaybayan noong panahong iyon. Hindi ito kasalukuyang balanse o halagang tiyak na mababawi.

Kasunod ng insidente, itinigil o nilimitahan ng WazirX ang ilang aktibidad. Ang mga diskuwento sa presyo at kakulangan ng liquidity ay tumutukoy sa panahong iyon; hindi dapat ilarawan ang dating paghinto bilang kasalukuyang kondisyon nang walang bagong datos.

Ang mga presyong BTC/USDT at USDT/INR na inihambing sa CoinDCX ay historikal at hindi awtomatikong pagkakataong mag-arbitrage kapag limitado ang withdrawals. Ang simbolo ng token ng WazirX ay WRX, hindi WZX. Ang iniulat na pagbagsak nito ay nakadepende sa petsa at pinagmulan ng presyo.

Sa paunang paliwanag nito, nagmungkahi ang WazirX na nabago ang nilalaman ng transaksyon:

“Pinaghihinalaan naming pinalitan ang payload upang ilipat ang kontrol ng wallet sa umaatake.”

Nagbigay ang Liminal ng ibang paliwanag at sinabing hindi nakompromiso ang sarili nitong imprastruktura. Dapat iugnay sa kani-kanilang pinagmulan ang mga pahayag ng mga partidong may alitan.

Ayon sa paunang pahayag ng Liminal, may senyales ng mapaminsalang payload sa mga transaksyon. Hindi ito dapat ituring na pinal na independiyenteng konklusyon tungkol sa kung sino ang responsable.

— Paliwanag ng Liminal sa X

Pinuna rin ng ilang tagamasid ang insidente at ang mga paliwanag. Sinabi ni Pankaj Tanwar sa X:

“Maaaring makapinsala nang malaki ang pagkakamaling ito sa crypto sa India.”

Pinuna ang WazirX sa panukalang paghahati ng pagkalugi

Mahirap at hindi tiyak ang pagbawi ng ninakaw na asset. Ang pag-uugnay ng ilang analyst sa mga grupong konektado sa North Korea ay hindi dahilan upang sabihing imposibleng may mabawi o tapos na ang imbestigasyon.

Nag-anunsyo ang palitan ng bounty na hanggang US$23 milyon para sa tulong sa pagbawi. Ang anunsyo at mga entry ay hindi nangangahulugang nabayaran na ang buong halaga o narekober na ang pondo.

Sa panukalang 55/45, bahagi ng halaga ng portfolio ang magiging available ayon sa napiling opsiyon, habang 45% ay ila-lock bilang token na katumbas ng halaga sa USDT. Hindi ito kapareho ng agarang pagbabalik ng 55% ng bawat orihinal na token o garantisadong USDT cash payment.

Naging kontrobersiyal ang “Withdrawal Management Programme: Opinion Poll” dahil sa posibleng pamamahagi ng pagkalugi sa mga customer.

Noong Hulyo 27, 2024, ipinakita ang poll tungkol sa posibleng pamamahagi ng epekto ng pagkawala. Panukala at konsultasyon ito, hindi patunay na naibalik na ang mga asset.

Sa isang opsiyon, maaaring gamitin sa trading at i-withdraw ang pinapayagang bahagi ngunit mas mababa ang prayoridad sa susunod na pagbawi. Sa isa, maaaring mag-trade ngunit hindi mag-withdraw, kapalit ng mas mataas na prayoridad. Kailangang ihiwalay ang akses sa trading sa karapatang mag-withdraw.

Ang mungkahing ito ay nagdulot ng kritisismo sa WazirX mula sa mga gumagamit nito, kung saan may nagsabi, “pinaghahatian ang pagkalugi, ngunit pribado ang kita.” May isa pang nagtanong kung bakit dapat parusahan ang mga gumagamit na may hindi ninakaw na token.

Nagpahayag din ng kanilang opinyon ang mga kakumpitensyang crypto exchange tungkol sa pinakabagong hakbang ng WazirX, kung saan sinabi ng co-founder ng CoinDCX na si Sumit Gupta na ang desisyong ito ay “hindi inuuna ang komunidad.” Ayon kay Gupta, ang paraan ng paghawak ng WazirX sa sitwasyon ay “hindi magiging maganda para sa kanila,” at idinagdag pa na ito ay “nakakasakit din sa ibang kalahok ng ekosistema.”

Sinabi ni Arjun Vijay, co-founder ng Giottus, na ang poll ng WazirX ay “hindi nasa pinakamabuting interes ng ekosistema” dahil ito ay “dinisenyo upang pilitin ang mga customer” na pumili ng opsyon upang makakuha ng prayoridad sa mga proceeds ng pag-recover.

Ibinahagi rin ni Dr. Sathvik Vishwanath, co-founder ng Unocoin, ang kanyang pagkadismaya sa paraan ng paghawak sa isyu, sinasabing ito ay “lalo pang nagpapalala sa sitwasyon” habang ang pangyayari ay naglagay na ng industriya ng crypto “sa kaguluhan.”

Ipinagtanggol ng WazirX ang poll bilang hindi legal na nagbubuklod at para sa pagkuha ng feedback. Hindi ito katumbas ng pinal na restructuring agreement o garantisadong pagbabayad.

Sa pagtalakay sa dahilan ng plano nitong ibahagi ang mga pagkalugi, ibinahagi ng VP ng WazirX na si Rajagopal Menon na pinag-aralan nila ang ibang malalaking exchange na kinailangan humarap sa katulad na sitwasyon. Ang dalawang pangunahing hack na sinuri ay ang Mt. Gox at Bitfinex.

Ang Mt. Gox ay bumagsak noong 2014 matapos ang pagkawala ng Bitcoin. Ang paunang bilang na 850,000 BTC ay dapat ihiwalay sa mga halagang kalaunang natagpuan. Nagsimula ang ilang pagbabayad sa mga creditor noong Hulyo 2024; hindi pare-pareho ang katayuan o halagang matatanggap ng bawat tao.

Nawalan ang Bitfinex ng humigit-kumulang 119,756 BTC noong 2016. Gumamit ito ng pagbabawas sa balanse at BFX token sa tugon nito. Ang dating estratehiya ng ibang palitan ay hindi awtomatikong angkop o legal na katumbas ng panukala para sa WazirX.

Iba pang opsiyon at mga asset na iniugnay sa ED

Ayon sa ulat ng Moneycontrol na umasa sa hindi pinangalanang source, humingi rin ng tulong sa Binance. Hindi ito opisyal na kumpirmasyon ng napagkasunduang pagsagip.

May ulat ding nag-ugnay sa Binance ng kontrol sa ilang bahagi ng negosyo at WRX. Pahayag ito ng source sa gitna ng alitan, hindi pinal na natukoy na pagmamay-ari.

Ayon sa source na sinipi, nagpapatuloy ang legal na alitan at nasa maagang yugto ang mga usapan. Hindi nito pinatutunayang may kasunduang magbabayad sa mga customer.

Ang ulat ng reserves noong Enero 2023 ay nagsaad ng paglalagyan ng mga asset noong panahong iyon. Hindi nito ipinakikitang pareho ang custody arrangement noong Hulyo 2024. Ang paglalarawan sa WRX IEO at mga kinita nito ay dapat iugnay sa WazirX at sa saklaw ng alitan.

Noong 2022, nagpalitan ng pahayag sina Nischal Shetty at Changpeng Zhao, na CEO ng Binance noong panahong iyon, tungkol sa kontrol sa WazirX. Ang anunsyo noong 2019 at ang mga sumunod na pagtutol ay nagpapakitang pinagtatalunan ang mga detalye; hindi sapat ang artikulong ito upang lutasin ang pagmamay-ari.

Nagsagawa ang Enforcement Directorate ng mga hakbang at imbestigasyon tungkol sa mga kaugnay na usapin. Ang pag-freeze o pagsisiyasat ay hindi katumbas ng pinal na hatol sa lahat ng paratang.

Iniulat na may ilang crypto asset na kinumpiska ng ED kaugnay ng E-Nuggets na inilagay sa WazirX. Ang halagang US$1.1 milyon ay pagtataya sa ulat, hindi patunay na ang mismong mga asset na iyon ay ninakaw.

Ayon sa ulat ng The Print, humingi ang ED ng tulong sa mga palitan upang matukoy at i-freeze ang mga account na kaugnay ng kaso. Ang mga naturang hakbang ay dapat ihiwalay sa pangkalahatang balanse at pagkawala ng WazirX.

Ang paglalagay ng nakumpiskang crypto sa isang palitan ay may panganib sa custody. Ang pagkawala sa isang wallet ay hindi awtomatikong nagpapatunay kung magkano ang naapektuhan sa bawat account.

Sa ulat na inilabas ng Chainalysis noong Enero 2024, tinatayang US$1.7 bilyon ang ninakaw noong 2023, bumaba nang 54.3% mula 2022. Tumaas naman ang bilang ng mga insidenteng sinubaybayan mula 219 tungong 231. Maaaring baguhin ang mga pagtataya habang nadaragdagan ang datos.

Ayon sa TRM Labs, US$1.38 bilyon, hindi US$1.48 bilyon, ang ninakaw sa mga hack at exploit hanggang Hunyo 24, 2024, kumpara sa US$657 milyon sa katulad na panahon noong 2023. Ang limang pinakamalaking insidente ay bumuo ng 70% ng halagang iyon.

Binanggit ng TRM ang kompromiso ng private key at seed phrase, kasama ng smart-contract exploit at flash-loan attack, bilang mahahalagang uri ng panganib.

Nagpakita ang insidente ng mga usapin sa custody, pamamahala ng panganib at proteksyon ng customer. Hindi ito nangangahulugang walang umiiral na batas na may kaugnayan sa crypto.

Regulasyon at proteksyon ng mga customer sa India noong 2024

Nagpahayag ang WazirX ng pakikipagtulungan sa mga forensic specialist, ibang kalahok at mga awtoridad. Ang pagsisikap sa imbestigasyon ay hindi garantiya ng pagbawi o pagkakahuli.

Iniulat ng kumpanya ang pakikipag-ugnayan sa CERT-In at mga awtoridad. Ang FIR ay unang ulat na nagtatala ng alegasyon at nagsisimula ng proseso ng imbestigasyon; hindi ito pinal na patunay ng pagkakasala.

Ang tamang pangalan ay Financial Intelligence Unit–India (FIU-IND), hindi Financial Integrity Unit. Pangunahing saklaw nito ang mga obligasyong AML/CFT sa ilalim ng PMLA. Ang pagpaparehistro rito ay hindi garantiya ng seguridad ng wallet o insurance ng deposito.

Sa pananaw na sinipi mula kay Joanna Cheng ng Fireblocks, makatutulong ang mas malinaw na inaasahan sa seguridad, risk management at proteksyon ng customer. Dapat itong basahin bilang pagsusuri sa mga puwang ng balangkas, hindi pahayag na walang anumang batas na umiiral.

Noong 2020, ibinasura ng Korte Suprema ang circular ng RBI noong 2018 na naglimita sa pagbibigay ng mga bangko ng serbisyo sa mga crypto-related na negosyo. Hindi ito pagbabawal na ipinasa bilang batas laban sa lahat ng pagmamay-ari ng crypto.

Noong 2024, wala pang iisang komprehensibong crypto law na sumasaklaw sa lahat ng usapin. Gayunman, may umiiral nang mga obligasyong AML, buwis at iba pang naaangkop na batas.

Mula Marso 2023, saklaw ng PMLA AML/CFT framework ang ilang virtual digital asset service provider, kabilang ang mga offshore na naglilingkod sa India. Kailangan ang pagpaparehistro at pagsunod sa FIU-IND; ang hindi pagsunod ng ilang provider ay hindi pangkalahatang pagbabawal sa lahat ng offshore platform.

May hiwalay ding mga patakaran sa buwis sa virtual digital assets. Ang 30% na rate sa kaugnay na kita at 1% withholding ay may saklaw at mga kundisyon; hindi wastong sabihing awtomatikong 1% na pinal na buwis ang bawat transaksyon anuman ang halaga o uri.

Pinuna ng ilang gumagamit ang pagsasabay ng buwis at mga puwang sa proteksyon. Ang kanilang pananaw ay hindi patunay na walang ginagawa o walang kapangyarihan ang lahat ng awtoridad.

Nagdulot din ng reklamo ang withdrawals sa ibang palitan gaya ng BitBNS. Dapat ihiwalay ang reklamo at paratang mula sa pinal na natukoy na pandaraya.

May mga ulat tungkol sa dating hack at mga hindi ma-withdraw na pondo sa BitBNS. Ang mga paratang na sadyang nanlilinlang ito o umalis ng bansa ang CEO ay hindi dapat iharap bilang napatunayang katotohanan nang walang sapat na ebidensiya.

Ang dating hula sa presyo ng Bitcoin o pagtalakay sa posibleng demanda ay hindi nagpapatunay ng pananagutan. Mahalaga ang petsa at katayuan ng anumang kasong legal.

Iba-iba ang patakaran ng mga palitan sa crypto withdrawals at fiat deposits. Hindi lahat ng provider o account ay may iisang pagbabawal. May sariling panganib ang self-custody, kabilang ang pagkawala o pagkompromiso ng mga key.

May mga ulat noong 2024 tungkol sa planong discussion paper. Ang inaasahang petsa ay hindi garantiya ng paglalathala. Ang pag-apruba sa US ng spot Bitcoin exchange-traded products ay hiwalay na pangyayaring hindi nagtatakda ng batas sa India.

Ipinakita ng insidente ang pangangailangan sa malinaw na obligasyon, maingat na custody at pananagutan. Ang magiging resulta para sa mga customer ay nakadepende sa pagbawi, mga kasunduan at naaangkop na proseso, hindi sa iisang anunsyo.

I-click dito para sa listahan ng limang pinakamahusay na crypto exchange.