Ronin Threat Actors verwendeten einen Krypto-Mixer, um gestohlene Gelder zu transferieren

Veröffentlicht am: 23. August 2022

Die Bedrohungsakteure hinter dem Angriff auf die Ronin-Brücke im März verwendeten Datenschutz-Tools, um gestohlene Ethereum (ETH)-Gelder in Bitcoin (BTC) umzuwandeln, bevor sie sie über sanktionierte Krypto-Mixer-Dienste transferierten.

Die Hacker verwendeten renBTC (ein offenes, Community-gesteuertes Cross-Chain-Transferprotokoll) zusammen mit den Bitcoin-Mischdiensten Blender und ChipMixer, um einen Großteil der gestohlenen Gelder aus dem 625-Millionen-Dollar-Hack zu verarbeiten.

Der Weg der gestohlenen Gelder wurde von ₿liteZero analysiert, einem Ermittler, der seit dem Ronin-Vorfall vom 23. März bei der Blockchain-Sicherheitsfirma SlowMist arbeitet.

Die Hacker wandelten zuerst die meisten der gestohlenen Vermögenswerte in ETH um und benutzten dann den jetzt sanktionierten Kryptomixer Tornado Cash, um ihre Spuren zu verwischen.

Laut ₿liteZero berichten Letzte Woche überwiesen die Bedrohungsakteure fünf Tage nach dem Angriff ursprünglich einen Teil der gestohlenen Gelder (6,249 ETH) an zentrale Börsen (CEX). Danach wandelten sie die ETH in BTC um, bevor sie Krypto-Assets im Wert von rund 20.5 Millionen Dollar an das Bitcoin-Datenschutztool Blender weiterleiteten.

Die meisten der gestohlenen Gelder (175,000 ETH) wurden dann zwischen dem 4. April und dem 19. Mai nach und nach in Tornado Cash injiziert. Die Hacker nutzten die dezentralisierten Börsen (DEX)-Plattformen 1inch und Uniswap, um fast 113,000 ETH in renBTC umzutauschen.

Als nächstes nutzten die Bedrohungsakteure die Cross-Chain-Fähigkeiten von renBTC, um die gestohlenen Gelder an das Bitcoin-Netzwerk zu übertragen und die Token in BTC umzuwandeln. Schließlich verteilten sie dann rund 6,631 BTC über eine Vielzahl von DEX- und CEX-Plattformen und -Protokollen.

₿liteZero sagte dass die Untersuchung des Ronin-Hacks derzeit noch andauert. „Ich arbeite daran, Ronin-Hacker zu analysieren, und die nächste Arbeit wird komplexer“, fügte er hinzu.

Die Forscher glauben, dass es sich um Mitglieder der berüchtigten nordkoreanischen Cybercrime-Gang handelt Lazarus Group sind die Hauptverdächtigen hinter dem Angriff auf die Ronin-Brücke. Gemäß einer Ankündigung Gepostet auf Ronins offiziellem Twitter-Account, schrieb das FBI auch „die in Nordkorea ansässige Lazarus Group dem Ronin Validator Security Breach zu“.