Gli attori della minaccia Ronin hanno utilizzato un mixer crittografico per trasferire fondi rubati

Pubblicato il: 23 Agosto 2022

Gli autori delle minacce dietro l'attacco al ponte Ronin di marzo hanno utilizzato strumenti per la privacy per convertire i fondi Ethereum (ETH) rubati in Bitcoin (BTC), prima di trasferirli attraverso servizi di mixer crittografici autorizzati.

Gli hacker hanno utilizzato renBTC (un protocollo di trasferimento cross-chain aperto e gestito dalla comunità), insieme ai servizi di mixaggio Bitcoin Blender e ChipMixer per elaborare la maggior parte dei fondi rubati dall'hacking da 625 milioni di dollari.

Il percorso dei fondi rubati è stato analizzato da ₿liteZero, un investigatore che ha lavorato presso la società di sicurezza blockchain SlowMist dall'incidente di Ronin del 23 marzo.

Gli hacker hanno prima convertito la maggior parte degli asset rubati in ETH e poi hanno utilizzato il mixer crittografico Tornado Cash, ora autorizzato, per coprire le loro tracce.

Secondo ₿liteZero rapporto la settimana scorsa, gli autori delle minacce avevano originariamente trasferito una parte dei fondi rubati (6,249 ETH) agli scambi centralizzati (CEX) cinque giorni dopo l'attacco. Successivamente, hanno convertito l'ETH in BTC prima di incanalare circa 20.5 milioni di dollari di asset crittografici allo strumento per la privacy di Bitcoin Blender.

La maggior parte dei fondi rubati (175,000 ETH) sono stati poi gradualmente immessi in Tornado Cash tra il 4 aprile e il 19 maggio. Gli hacker hanno utilizzato le piattaforme di scambio decentralizzato (DEX) 1inch e Uniswap per scambiare quasi 113,000 ETH in renBTC.

Successivamente, gli autori delle minacce hanno utilizzato le capacità cross-chain di renBTC per trasferire i fondi rubati alla rete Bitcoin e convertire i token in BTC. Alla fine, hanno poi sparso circa 6,631 BTC attraverso una varietà di piattaforme e protocolli DEX e CEX.

₿liteZero disse che l'indagine sull'hacking di Ronin è ancora in corso. "Sto lavorando per analizzare gli hacker Ronin, e il prossimo lavoro sarà più complesso", ha aggiunto.

I ricercatori ritengono che siano membri della famigerata banda di criminali informatici nordcoreani Gruppo Lazzaro sono i principali sospettati dietro l'attacco al ponte Ronin. Secondo un annuncio pubblicato sull’account Twitter ufficiale di Ronin, l’FBI ha anche “attribuito il gruppo Lazarus, con sede in Corea del Nord, alla violazione della sicurezza del Ronin Validator”.