Drener CryptoBilis Ledger kontynuował przenoszenie skradzionych kryptowalut, transferując 13,84 mln USD w ciągu ostatnich 48 godzin, po tym jak Arkham Intelligence prześledziło kradzieże o wartości 95,35 mln USD obejmujące 1486 adresów.
Podsumowanie
- Arkham prześledziło 95,35 mln USD skradzionych z 1486 adresów między 7 a 9 października.
- Według doniesień atakujący ukradł 80,60 mln USD w ciągu zaledwie 51 minut 9 października.
- Co najmniej 69,19 mln USD przeszło przez swapy i mosty w wielu sieciach blockchain.
- Atakujący zdeponował 9529 ETH o wartości 23,27 mln USD w Tornado Cash poprzez 559 transakcji.
- Arkham zidentyfikowało 30,44 mln USD pozostałych aktywów, w tym 10 mln USD w zamrożonych USDT.
Według Arkham Intelligence kradzieże miały miejsce między 7 a 9 października, przy czym większość kryptowalut została zabrana w ciągu 51-minutowego okresu 9 października. Firma analityczna blockchain poinformowała, że 30,44 mln USD pozostaje na adresach powiązanych z atakującym, w tym 10 mln USD w USDT zamrożonych przez Tether.
Jej najnowsze śledztwo prześledziło skradzione kryptowaluty przez kilka sieci blockchain, identyfikując transfery obejmujące USDT, Bitcoin, Ethereum i USDD. Ustalenia pojawiają się prawie trzy tygodnie po tym, jak Ledger rozpoczął dochodzenie w sprawie doniesień o brakujących środkach od klientów, którzy kupili portfele sprzętowe za pośrednictwem południowoazjatyckiego resellera CryptoBilis.
Drener CryptoBilis Ledger ukradł 80,6 mln USD w 51 minut
Analiza Arkham wykazała, że większość kradzieży miała miejsce 9 października, począwszy od 05:07:48 UTC. W ciągu 51 minut atakujący zgromadził 80,60 mln USD, w tym 58,19 mln USD w USDT poprzez 335 transferów w sieci blockchain Tron.
W tym samym okresie 112 adresów Bitcoin przetransferowało 203,26 BTC o wartości 16,73 mln USD w jednym bloku o 05:54 UTC. Kolejne 14,14 mln USD w USDT trafiło do portfeli Tron atakującego do 15:00 UTC.
Śledztwo zidentyfikowało mniejsze transfery przed główną kradzieżą. Między 7 a 8 października atakujący otrzymał 7,41 BTC o wartości około 610 000 USD ze 137 adresów.
Wcześniejsze szacunki strat były różne. Firma analityczna blockchain Bitquery oszacowała 102 mln USD skradzionych z 335 portfeli w sześciu sieciach w swoim dochodzeniu z 16 października. Ledger nie potwierdził niezależnie całkowitej kwoty skradzionych środków ani liczby poszkodowanych klientów.
Skradzione środki przeniesione przez mosty Ethereum i giełdy
Po kradzieży atakujący zaczął konwertować skradzione aktywa i przenosić je między sieciami blockchain. Arkham prześledziło co najmniej 69,19 mln USD poprzez swapy i transakcje mostowe, w tym 20,37 mln USD w USDT skonwertowanych na USDD w Tron.
Kolejne 20 mln USD w USDT przeniesiono z Tron do Ethereum poprzez USDT0. Inne transfery skonwertowały USDT i USDC z Tron, BNB Chain i Polygon na ETH, w tym 8,95 mln USD poprzez Relay, 5,91 mln USD poprzez Chainflip i 13,96 mln USD poprzez mniejsze trasy.
9 października portfele Ethereum powiązane z atakującym otrzymały 5 895 ETH o wartości 14,72 mln USD z mostów, w tym Relay, THORChain, NEAR Intents, Bridgers i Mayan. Następnie atakujący zamienił 11,30 mln USD w USDT przeniesionych przez most na około 4 530 ETH za pośrednictwem Rizzolver.
Osobne transfery wysłały 5 185 ETH o wartości 12,97 mln USD bezpośrednio na nowo utworzone adresy. Z tej kwoty 3 600 ETH pochodziło z 9 mln USD przesłanych przez USDT0, a kolejne 1 585 ETH przepłynęło przez Chainflip na trzy nowe adresy.
Między 9 a 11 października atakujący wysłał 14,65 mln USD w USDD na 20 adresów Tron. Dziewiętnaście z nich następnie zamieniło tokeny na USDT za pośrednictwem SUN.io i zdeponowało 14,13 mln USD w THORChain.
Tornado Cash otrzymało 23,27 mln USD w skradzionych ETH
Arkham zidentyfikowało 9 529 ETH o wartości 23,27 mln USD zdeponowanych w Tornado Cash poprzez 559 transakcji.
Depozyty obejmowały 63 transfery po 100 ETH, 307 transferów po 10 ETH, 156 transferów po 1 ETH i 33 transakcje po 0,1 ETH. Przed depozytami 8 102,6 ETH zostało przeniesionych z portfeli powiązanych z atakującym na 26 nowych adresów Ethereum.
Transfery Bitcoinów były kontynuowane osobno. Arkham prześledziło 102,15 BTC o wartości 8,33 mln USD opuszczających portfele atakującego poprzez cztery transakcje. 27 października część o wartości 17,97 BTC dołączyła do 52,51 BTC w niewydanym wyjściu zawierającym 70,47 BTC o wartości 5,67 mln USD.
Najnowsze dane firmy pokazują 4 932 ETH o wartości 11,49 mln USD i 111,28 BTC o wartości 8,96 mln USD na oznaczonych adresach. Kolejne 10 000 010 USDT pozostaje zamrożone na Tronie po interwencji Tether z 9 października.
Ledger potwierdził implant sprzętowy w dochodzeniu dotyczącym portfela CryptoBilis
Ustalenia są następstwem dochodzenia Ledger w sprawie skompromitowanych portfeli sprzętowych sprzedawanych przez CryptoBilis. Jak crypto.news wcześniej informowało, Ledger potwierdził 13 października, że jego zespół ds. bezpieczeństwa odkrył nieautoryzowany implant sprzętowy zdolny do przechwytywania fraz odzyskiwania wyświetlanych podczas konfiguracji urządzenia.
Ledger stwierdził, że każda potwierdzona kradzież, którą zbadał, dotyczyła urządzenia zakupionego przez CryptoBilis, choć nie ustalono, w jaki sposób komponenty trafiły do dotkniętego sprzętu. Producent następnie zaostrzył wymogi bezpieczeństwa dla sprzedawców i zawiesił autoryzowaną sprzedaż portfeli sprzętowych na kilku rynkach Azji Południowo-Wschodniej.
W powiązanym wydarzeniu policja singapurska zgłosiła dwa przypadki skompromitowanych portfeli 28 października, obejmujące straty w kryptowalutach wynoszące około 3,5 mln SGD. Wstępne dochodzenia wykazały, że złośliwe komponenty wewnątrz dotkniętych urządzeń mogły przechwytywać frazy odzyskiwania lub klucze prywatne użytkowników.
Ledger stwierdził, że jego dochodzenie nie ujawniło dowodów na to, że jego systemy wewnętrzne lub bezpośrednie kanały sprzedaży zostały skompromitowane.
