Atores do Ronin Threat usaram um mixer de criptografia para transferir fundos roubados

Publicado em: 23 de agosto de 2022

Os atores da ameaça por trás do ataque à ponte Ronin em março usaram ferramentas de privacidade para converter fundos roubados de Ethereum (ETH) em Bitcoin (BTC), antes de transferi-los por meio de serviços de mixagem de criptografia sancionados.

Os hackers usaram o renBTC (um protocolo de transferência de cadeia cruzada aberto e conduzido pela comunidade), juntamente com os serviços de mistura de Bitcoin Blender e ChipMixer para processar a maioria dos fundos roubados do hack de US$ 625 milhões.

O caminho dos fundos roubados foi analisado por ₿liteZero, um investigador que trabalha na empresa de segurança blockchain SlowMist desde o incidente de Ronin em 23 de março.

Os hackers primeiro converteram a maior parte dos ativos roubados em ETH e depois usaram o agora sancionado misturador de criptografia Tornado Cash para encobrir seus rastros.

De acordo com ₿liteZero's Denunciar na semana passada, os atores da ameaça transferiram originalmente uma parte dos fundos roubados (6,249 ETH) para bolsas centralizadas (CEX) cinco dias após o ataque. Depois disso, eles converteram o ETH em BTC antes de canalizar cerca de US$ 20.5 milhões em ativos criptográficos para a ferramenta de privacidade Bitcoin Blender.

A maior parte dos fundos roubados (175,000 ETH) foram gradualmente injetados no Tornado Cash entre 4 de abril e 19 de maio. Os hackers usaram as plataformas de troca descentralizada (DEX) 1inch e Uniswap para trocar quase 113,000 ETH por renBTC.

Em seguida, os agentes da ameaça usaram os recursos de cadeia cruzada do renBTC para transferir os fundos roubados para a rede Bitcoin e converter os tokens em BTC. Finalmente, eles espalharam cerca de 6,631 BTC por meio de uma variedade de plataformas e protocolos DEX e CEX.

₿liteZero dito que a investigação sobre o hack do Ronin ainda está em andamento. “Estou trabalhando na análise dos hackers Ronin e o próximo trabalho será mais complexo”, acrescentou.

Os pesquisadores acreditam que membros da infame gangue norte-coreana do crime cibernético Grupo Lazarus são os principais suspeitos por trás do ataque à ponte Ronin. De acordo com um anúncio postado na conta oficial de Ronin no Twitter, o FBI também “atribuiu o Grupo Lazarus, com sede na Coreia do Norte, à violação de segurança do validador Ronin”.