Ronin Threat Aktorzy użyli miksera kryptograficznego do przeniesienia skradzionych środków

Opublikowany: 23 sierpnia 2022 r.

Zagrożenia stojące za atakiem na most Ronina w marcu wykorzystały narzędzia prywatności, aby przekonwertować skradzione środki Ethereum (ETH) na Bitcoin (BTC), zanim przetransferowały je za pośrednictwem usankcjonowanych usług miksera kryptowalut.

Hakerzy wykorzystali renBTC (otwarty, oparty na społeczności protokół transferu międzyłańcuchowego) wraz z usługami mieszania bitcoinów Blender i ChipMixer, aby przetworzyć większość skradzionych środków z włamania o wartości 625 milionów dolarów.

Ścieżka skradzionych środków została przeanalizowana przez ₿liteZero, śledczego, który pracował w firmie SlowMist zajmującej się bezpieczeństwem blockchain od czasu incydentu z Roninem 23 marca.

Hakerzy najpierw przekonwertowali większość skradzionych aktywów w ETH, a następnie użyli obecnie usankcjonowanego miksera kryptograficznego Tornado Cash, aby zatuszować swoje ślady.

Według ₿liteZero raport W zeszłym tygodniu cyberprzestępcy pierwotnie przekazali część skradzionych środków (6,249 ETH) na scentralizowane giełdy (CEX) pięć dni po ataku. Następnie przekonwertowali ETH na BTC, po czym przekazali kryptowaluty o wartości około 20.5 miliona dolarów do narzędzia prywatności Bitcoin Blender.

Większość skradzionych środków (175,000 4 ETH) została następnie stopniowo wstrzyknięta do Tornado Cash między 19 kwietnia a 1 maja. Hakerzy wykorzystali platformy zdecentralizowanej wymiany (DEX) 113,000inch i Uniswap do wymiany prawie XNUMX XNUMX ETH na renBTC.

Następnie cyberprzestępcy wykorzystali możliwości cross-chain renBTC, aby przenieść skradzione środki do sieci Bitcoin i przekonwertować tokeny na BTC. W końcu rozproszyli około 6,631 XNUMX BTC za pośrednictwem różnych platform i protokołów DEX i CEX.

liteZero powiedziany że śledztwo w sprawie włamania do Ronina wciąż trwa. „Pracuję nad analizą hakerów Roninów, a następna praca będzie bardziej złożona” – dodał.

Naukowcy uważają, że członkowie niesławnego północnokoreańskiego gangu cyberprzestępczego Grupa Lazarus są głównymi podejrzanymi za atakiem na most Ronin. Zgodnie z jednym z zapowiedź opublikowane na oficjalnym koncie Ronina na Twitterze, FBI „przypisało Lazarus Group z siedzibą w Korei Północnej naruszeniu bezpieczeństwa Ronin Validator”.