การใช้ประโยชน์จากความปลอดภัย Wintermute มูลค่า 160 ล้านเหรียญอาจเป็นงานภายใน: รายงาน

Wintermute ผู้ดูแลสภาพคล่องชั้นนำของตลาดได้รับความเสียหาย 160 ล้านดอลลาร์ในการดำเนินงานด้านการเงินแบบกระจายอำนาจเมื่อสัปดาห์ที่แล้ว ข้อมูลบนเครือข่ายเปิดเผยมูลค่าหลายสิบล้านดอลลาร์ของ Dai, USDC, Tether, Wrapped ETH และทรัพย์สินอื่น ๆ ที่โอนจากบริษัทไปยังที่อยู่กระเป๋าเงินที่ถูกตั้งค่าสถานะเป็น “Wintermute Exploiter”

ในขณะที่บริษัทในอังกฤษยังไม่มี เปิดเผย หากการบังคับใช้กฎหมายได้รับแจ้ง มันก็เสนอเงินรางวัล 10% แก่แฮ็กเกอร์ในกองทุนที่ไม่ได้รับ และถือว่าการละเมิดเป็นเหตุการณ์ "หมวกขาว"

อย่างไรก็ตาม รายงานฉบับใหม่ระบุว่านี่อาจเป็นงานภายใน

งานวงใน

นักวิเคราะห์ James Edwards หรือที่รู้จักในชื่อ Librehash หรือที่รู้จักในชื่อบรรณาธิการของ ZeroNoncense ที่ถกเถียงกันอยู่ ที่แฮ็กเกอร์ไม่สามารถเป็นเอนทิตีภายนอกแบบสุ่มที่ "เพียงแค่กู้คืนคีย์ส่วนตัวไปยังที่อยู่ภายนอกที่ไม่ปลอดภัยซึ่งทีมไม่สามารถเพิกถอนสิทธิ์ของผู้ดูแลระบบได้" เอ็ดเวิร์ดกล่าวว่าแฮ็คดูเหมือนจะดำเนินการโดยบุคคลภายในหลังจากสังเกตการโต้ตอบสัญญาอัจฉริยะของแพลตฟอร์ม

“กล่าวอีกนัยหนึ่ง ธุรกรรมที่เกี่ยวข้องที่ริเริ่มโดย EOA ทำให้ชัดเจนว่าแฮ็กเกอร์น่าจะเป็นสมาชิกภายในของทีม Wintermute”

Edwards ตั้งคำถามถึงความโปร่งใสของโครงการในขณะที่ชี้ให้เห็นถึงการขาดการอัปโหลดและยืนยันรหัสสำหรับสัญญาอัจฉริยะ Wintermute ที่เป็นปัญหา ซึ่งทำให้ชุมชนไม่สามารถยืนยันว่าแฮ็กเกอร์ไม่ใช่คนภายใน โดยปกติ สัญญาอัจฉริยะใดๆ ที่รับผิดชอบในการจัดการเงินของผู้ใช้/ลูกค้าที่ปรับใช้บนบล็อคเชนนั้นขึ้นอยู่กับการตรวจสอบสาธารณะ

เมื่อตรวจสอบอย่างละเอียดถี่ถ้วนและลอดผ่าน bytecode ที่ถอดรหัสแล้ว นักวิเคราะห์กล่าวหาว่าพบว่ารหัสไม่ตรงกับสิ่งที่คาดว่าจะถูกบุกรุก

เอ็ดเวิร์ดยังพูดจาไม่สุภาพกับ Evgeny Gaevoy ซีอีโอและผู้ก่อตั้ง Wintermute และเรียกคำอธิบายของผู้บริหารว่า "รีบเร่งและเผยแพร่อย่างไม่เป็นระเบียบ" ทำให้รู้สึกว่าทีมงาน "โล่งใจ" ในการจัดการเพื่อดึงเงินหนึ่งล้านดอลลาร์ ปล้นด้วย "การตรวจสอบเพียงเล็กน้อยหรือไม่มีเลย"

โอนไปยังกระเป๋าเงินที่ถูกบุกรุก

การโอน 13.48 ล้าน USDT จากที่อยู่สัญญาอัจฉริยะ Wintermute ไปยังสัญญาอัจฉริยะที่สร้างและควบคุมโดยแฮ็กเกอร์ Wintermute ที่คาดคะเนนั้นเป็นที่ถกเถียงกันโดยธรรมชาติ Edwards กล่าว

เขากล่าวหาว่าประวัติการทำธุรกรรมแสดงให้เห็นการเคลื่อนไหวของ USDT หลายล้านเหรียญจาก hot wallet ของการแลกเปลี่ยนสองแบบที่แตกต่างกัน – Binance และ Kraken – ไปจนถึงสัญญาอัจฉริยะที่ถูกบุกรุก ซึ่งสามารถเริ่มต้นได้จากบัญชีแลกเปลี่ยนที่ควบคุมโดยทีม

6d/ จำนวนเงินที่ถูกกวาดในการทำธุรกรรม 5:03 น. (EDT) นั้นไม่ใช่จำนวนเล็กน้อยเช่นกัน ทีมคาดว่าจะโดน 16 ล้าน $ USDT ในการกวาดครั้งแรกนั้น

เหตุใดพวกเขาจึงส่งเงินมูลค่ากว่า 13 ล้านไปยังที่อยู่นี้บนโลกใบนี้ ช่วยตอบทีครับ จ่าฝูง

— เจมส์เอ็ดเวิร์ด (@librehash) September 26, 2022