Ronin Threat Actors brukte en kryptomikser for å overføre stjålne midler

Publisert på: August 23, 2022

Trusselaktørene bak Ronin-broangrepet i mars brukte personvernverktøy for å konvertere stjålne Ethereum-midler (ETH) til Bitcoin (BTC), før de overførte dem gjennom sanksjonerte kryptomiksertjenester.

Hackerne brukte renBTC (en åpen, fellesskapsdrevet krysskjedeoverføringsprotokoll), sammen med Bitcoin-blandingstjenestene Blender og ChipMixer for å behandle et flertall av de stjålne midlene fra hacket på $625 millioner.

Banen til de stjålne midlene ble analysert av ₿liteZero, en etterforsker som har jobbet i blokkjedesikkerhetsfirmaet SlowMist siden Ronin-hendelsen 23. mars.

Hackerne konverterte først det meste av de stjålne eiendelene til ETH og brukte deretter den nå sanksjonerte kryptomikseren Tornado Cash for å dekke sporene deres.

I følge ₿liteZero's rapporterer forrige uke overførte trusselaktørene opprinnelig en del av de stjålne midlene (6,249 ETH) til sentraliserte børser (CEX) fem dager etter angrepet. Etterpå konverterte de ETH til BTC før de overførte kryptoaktiva verdt 20.5 millioner dollar til Bitcoin personvernverktøyet Blender.

De fleste av de stjålne midlene (175,000 4 ETH) ble deretter gradvis sprøytet inn i Tornado Cash mellom 19. april og 1. mai. Hackerne brukte de desentraliserte utvekslingsplattformene (DEX) 113,000inch og Uniswap for å bytte nesten XNUMX XNUMX ETH til renBTC.

Deretter brukte trusselaktørene renBTCs tverrkjedefunksjoner for å overføre de stjålne midlene til Bitcoin-nettverket og konvertere tokens til BTC. Til slutt spredte de rundt 6,631 XNUMX BTC gjennom en rekke DEX- og CEX-plattformer og protokoller.

₿liteZero sa at etterforskningen av Ronin-hakket fortsatt pågår. "Jeg jobber med å analysere Ronin-hackere, og det neste arbeidet vil være mer komplekst," la han til.

Forskerne mener at medlemmer av den beryktede nordkoreanske nettkriminalitetsgjengen Lazarus-gruppen er hovedmistenkte bak angrepet på Ronin-broen. I henhold til en kunngjøring publisert på Ronins offisielle Twitter-konto, tilskrev FBI også den Nord-Korea-baserte Lazarus Group til Ronin Validator Security Breach.