Ronin Threat -näyttelijät käyttivät salaussekoitinta varastettujen varojen siirtämiseen

Julkaistu: Elokuu 23, 2022

Maaliskuussa tehdyn Ronin-siltahyökkäyksen takana olleet uhkatekijät käyttivät tietosuojatyökaluja muuntaakseen varastetut Ethereum (ETH) -varat Bitcoineiksi (BTC) ennen niiden siirtämistä sanktioitujen kryptomekoituspalveluiden kautta.

Hakkerit käyttivät renBTC:tä (avoin, yhteisölähtöinen ketjujen välinen siirtoprotokolla) sekä Bitcoin-sekoituspalveluita Blender ja ChipMixer käsitelläkseen suurimman osan 625 miljoonan dollarin hakkeroinnin varastetuista varoista.

Varastettujen varojen polun analysoi ₿liteZero, tutkija, joka on työskennellyt blockchain-turvayrityksessä SlowMistissä 23. maaliskuuta tapahtuneen Roninin tapauksen jälkeen.

Hakkerit muunsivat ensin suurimman osan varastetusta omaisuudesta ETH:ksi ja käyttivät sitten nyt sanktioitua kryptosekoitinta Tornado Cashia peittämään jälkensä.

₿liteZeron mukaan raportti Viime viikolla uhkatoimijat siirsivät alun perin osan varastetuista varoista (6,249 20.5 ETH) keskitetyille pörsseille (CEX) viisi päivää hyökkäyksen jälkeen. Myöhemmin he muunsivat ETH:n BTC:ksi ennen kuin siirsivät noin XNUMX miljoonan dollarin arvosta kryptoomaisuutta Bitcoin-tietosuojatyökaluun Blender.

Suurin osa varastetuista varoista (175,000 4 ETH) syötettiin sitten vähitellen Tornado Cashiin huhtikuun 19. ja 1. toukokuuta välisenä aikana. Hakkerit käyttivät hajautettua vaihtoa (DEX) 113,000 tuumaa ja Uniswapia vaihtaakseen lähes XNUMX XNUMX ETH:ta renBTC:hen.

Seuraavaksi uhkatoimijat käyttivät renBTC:n cross-chain-ominaisuuksia siirtääkseen varastetut varat Bitcoin-verkkoon ja muuntaakseen rahakkeet BTC:ksi. Lopuksi he hajasivat noin 6,631 XNUMX BTC:tä useiden DEX- ja CEX-alustojen ja protokollien kautta.

₿liteZero sanoi että Ronin-hakkeroinnin tutkinta on edelleen kesken. "Haluan analysoida Ronin-hakkereita, ja seuraava työ on monimutkaisempi", hän lisäsi.

Tutkijat uskovat, että pahamaineisen pohjoiskorealaisen kyberrikollisjoukon jäseniä Lasarus-ryhmä ovat pääepäillyt Ronin-siltahyökkäyksen takana. Erään ilmoitus julkaistiin Roninin virallisella Twitter-tilillä, ja FBI myös "sanoi Pohjois-Koreassa toimivan Lazarus Groupin Ronin Validatorin tietoturvaloukkauksen syyksi".