Ronin Threat Actors gebruikten een cryptomixer om gestolen geld over te dragen

Gepubliceerd op: 23 Augustus 2022

De dreigingsactoren achter de Ronin-brugaanval in maart gebruikten privacytools om gestolen Ethereum (ETH)-gelden om te zetten in Bitcoin (BTC), voordat ze werden overgedragen via gesanctioneerde cryptomixer-services.

De hackers gebruikten renBTC (een open, community-gedreven cross-chain overdrachtsprotocol), samen met de Bitcoin-mixservices Blender en ChipMixer om het grootste deel van het gestolen geld van de hack van $ 625 miljoen te verwerken.

Het pad van het gestolen geld werd geanalyseerd door ₿liteZero, een onderzoeker die sinds het Ronin-incident van 23 maart bij blockchain-beveiligingsbedrijf SlowMist werkt.

De hackers hebben eerst de meeste gestolen activa omgezet in ETH en vervolgens de nu gesanctioneerde cryptomixer Tornado Cash gebruikt om hun sporen uit te wissen.

Volgens "liteZero's" verslag vorige week hebben de dreigingsactoren vijf dagen na de aanval oorspronkelijk een deel van het gestolen geld (6,249 ETH) overgemaakt naar gecentraliseerde beurzen (CEX). Daarna converteerden ze de ETH naar BTC voordat ze ongeveer $ 20.5 miljoen aan crypto-activa doorsluisden naar de Bitcoin-privacytool Blender.

Het grootste deel van het gestolen geld (175,000 ETH) werd vervolgens tussen 4 april en 19 mei geleidelijk in Tornado Cash geïnjecteerd. De hackers gebruikten de gedecentraliseerde uitwisselingsplatforms (DEX) 1inch en Uniswap om bijna 113,000 ETH om te wisselen in renBTC.

Vervolgens gebruikten de bedreigingsactoren de cross-chain-mogelijkheden van renBTC om het gestolen geld over te dragen naar het Bitcoin-netwerk en de tokens om te zetten in BTC. Ten slotte verspreidden ze zich vervolgens rond 6,631 BTC via een verscheidenheid aan DEX- en CEX-platforms en -protocollen.

₿liteZero zei dat het onderzoek naar de Ronin-hack momenteel nog loopt. "Ik ben bezig met het analyseren van Ronin-hackers en het volgende werk zal complexer zijn", voegde hij eraan toe.

De onderzoekers denken dat leden van de beruchte Noord-Koreaanse cybercriminaliteitsbende Lazarus Group zijn de hoofdverdachten achter de aanval op de Roninbrug. Volgens een aankondiging gepost op Ronin's officiële Twitter-account, schreef de FBI ook "de in Noord-Korea gevestigde Lazarus Group toe aan de Ronin Validator Security Breach."