Ronin Threat Actors brugte en kryptomixer til at overføre stjålne midler

Udgivet på: August 23, 2022

Trusselsaktørerne bag Ronin-bro-angrebet i marts brugte privatlivsværktøjer til at konvertere stjålne Ethereum-midler (ETH) til Bitcoin (BTC), før de overføres gennem sanktionerede kryptomixer-tjenester.

Hackerne brugte renBTC (en åben, fællesskabsdrevet cross-chain overførselsprotokol) sammen med Bitcoin-blandingstjenesterne Blender og ChipMixer til at behandle et flertal af de stjålne midler fra hacket på $625 millioner.

Stien til de stjålne midler blev analyseret af ₿liteZero, en efterforsker, der har arbejdet hos blockchain-sikkerhedsfirmaet SlowMist siden Ronin-hændelsen den 23. marts.

Hackerne konverterede først de fleste af de stjålne aktiver til ETH og brugte derefter den nu sanktionerede kryptomixer Tornado Cash til at dække deres spor.

Ifølge ₿liteZero's indberette i sidste uge overførte trusselsaktørerne oprindeligt en del af de stjålne midler (6,249 ETH) til centraliserede børser (CEX) fem dage efter angrebet. Bagefter konverterede de ETH til BTC, før de overførte kryptoaktiver til en værdi af omkring 20.5 millioner dollars til Bitcoin-privatlivsværktøjet Blender.

De fleste af de stjålne midler (175,000 ETH) blev derefter gradvist sprøjtet ind i Tornado Cash mellem 4. april og 19. maj. Hackerne brugte de decentraliserede udvekslingsplatforme (DEX) 1inch og Uniswap til at veksle næsten 113,000 ETH til renBTC.

Dernæst brugte trusselsaktørerne renBTC's cross-chain-kapaciteter til at overføre de stjålne midler til Bitcoin-netværket og konvertere tokens til BTC. Til sidst spredte de sig omkring 6,631 BTC gennem en række forskellige DEX- og CEX-platforme og protokoller.

₿liteZero sagde at efterforskningen af ​​Ronin-hacket stadig er i gang i øjeblikket. "Jeg arbejder på at analysere Ronin-hackere, og det næste arbejde vil være mere komplekst," tilføjede han.

Forskerne mener, at medlemmer af den berygtede nordkoreanske cyberkriminalitetsbande Lazarus gruppe er de primære mistænkte bag Ronin-broangrebet. Ifølge en meddelelse udgivet på Ronins officielle Twitter-konto, "tilskrev FBI også den nordkoreanske Lazarus Group til Ronin Validator Security Breach."