Актори Ronin Threat використовували Crypto Mixer для переказу вкрадених коштів

Опубліковано: Серпень 23, 2022

Зловмисники, які стоять за атакою на міст Ronin у березні, використовували інструменти конфіденційності для конвертації вкрадених коштів Ethereum (ETH) у біткойни (BTC), а потім переказували їх через санкціоновані служби криптомікшеру.

Хакери використовували renBTC (відкритий, керований спільнотою міжланцюговий протокол передачі) разом із службами змішування біткойнів Blender і ChipMixer, щоб обробити більшу частину вкрадених коштів у результаті злому на 625 мільйонів доларів.

Шлях викрадених коштів проаналізував ₿liteZero, слідчий, який працював у фірмі безпеки блокчейнів SlowMist після інциденту з Роніном 23 березня.

Хакери спочатку конвертували більшість викрадених активів в ETH, а потім використовували тепер санкціонований криптомікшер Tornado Cash, щоб замести сліди.

За матеріалами ₿liteZero’s звітом минулого тижня зловмисники спочатку перевели частину вкрадених коштів (6,249 ETH) на централізовані біржі (CEX) через п’ять днів після атаки. Після цього вони конвертували ETH у BTC, а потім направили криптоактиви на суму близько 20.5 мільйонів доларів у інструмент захисту конфіденційності біткойнів Blender.

Більшість викрадених коштів (175,000 4 ETH) потім поступово вливали в Tornado Cash у період з 19 квітня по 1 травня. Хакери використовували платформи децентралізованого обміну (DEX) 113,000inch і Uniswap, щоб обміняти майже XNUMX XNUMX ETH на renBTC.

Далі зловмисники використовували крос-ланцюгові можливості renBTC, щоб перевести вкрадені кошти в мережу біткойн і конвертувати токени в BTC. Нарешті, вони розпорошили близько 6,631 BTC через різні платформи та протоколи DEX і CEX.

₿liteZero сказав що розслідування злому Ronin ще триває. «Я працюю над аналізом хакерів Ronin, і наступна робота буде більш складною», — додав він.

Дослідники вважають, що члени сумнозвісної північнокорейської банди кіберзлочинців Група «Лазар» є головними підозрюваними в нападі на міст Ронін. Відповідно до оголошення опублікованому в офіційному акаунті Роніна в Твіттері, ФБР також «приписало групу Lazarus, що базується в Північній Кореї, до порушення безпеки Ronin Validator».