Co najmniej 19 portfeli powiązanych z platformą rynku predykcyjnego Predict.fun zostało według doniesień opróżnionych z około 105 ETH o wartości 260 000 dolarów, a śledczy prześledzili podejrzane skradzione środki przez Ethereum do miksera kryptowalut Tornado Cash.
Podsumowanie
- Co najmniej 19 portfeli powiązanych z Predict.fun zostało według doniesień opróżnionych z około 105 ETH o wartości 260 000 dolarów, zgodnie z ustaleniami udostępnionymi przez śledczego on-chain Naevena.
- Podejrzany incydent po raz pierwszy ujawniono po tym, jak użytkownik zgłosił utratę około 5000 dolarów i wyraził obawy, że inni użytkownicy Predict.fun doświadczają podobnych nieautoryzowanych wypłat.
- Śledczy prześledzili podejrzane skradzione środki przez wiele pośrednich portfeli i Ethereum, zanim zostały według doniesień przekazane do miksera kryptowalut Tornado Cash.
- Naeven ostrzegł, że może być dotkniętych więcej portfeli, i wezwał użytkowników posiadających środki na Predict.fun do przeniesienia swoich aktywów poza platformę.
- Dokładna przyczyna zgłoszonego opróżnienia portfeli pozostaje niejasna, a śledczy nie ustalili jeszcze, czy doszło do naruszenia uprawnień, złośliwych podpisów czy podatnego kontraktu.
Śledczy on-chain Naeven zgłosił podejrzany atak 27 października, po tym jak inny użytkownik kryptowalut znany jako dethective ujawnił utratę około 5000 dolarów i wyraził obawy, że inne osoby korzystające z Predict.fun doświadczają podobnych nieautoryzowanych wypłat.
Według Naevena zidentyfikowane ofiary łącznie straciły 105 ETH, choć śledczy uważa, że rzeczywista liczba dotkniętych portfeli może być wyższa.
Śledztwo wykazało, że środki z wielu adresów były transferowane między sieciami, zanim dotarły do Tornado Cash, usługi mieszania kryptowalut powszechnie używanej do zacierania historii transakcji aktywów cyfrowych.
Naeven udostępnił diagram przepływu transakcji pokazujący kilka portfeli ofiar połączonych z pośrednimi adresami, przy czym środki ostatecznie zbiegały się w portfelach zidentyfikowanych jako drenujące.
Śledczy wezwał użytkowników, którzy nadal mieli środki na Predict.fun, do przeniesienia swoich aktywów poza platformę.
Opróżnienie portfeli Predict.fun po raz pierwszy zgłoszone przez dotkniętego użytkownika
Podejrzany incydent po raz pierwszy zwrócił uwagę po tym, jak użytkownik X o nazwie dethective ujawnił, że w ciągu poprzedniej godziny z jego portfela zabrano około 5000 dolarów.
W poście użytkownik zasugerował, że coś jest nie tak z Predict.fun, i twierdził, że inne dotknięte portfele wydają się mieć powiązania z platformą rynku predykcyjnego.
„Myślę, że coś jest nie tak z Predictfun i nie jestem jedyną ofiarą” — napisał użytkownik.
Post zawierał adres portfela 0x8b001D7378DBc19C1c62E39c0fC9FFAD84182fBa, który użytkownik zidentyfikował jako odbierający skradzione środki.
Załączony zrzut ekranu transakcji pokazywał wychodzący transfer około 4845 USDT z adresu oznaczonego jako Kernel, wraz z wcześniejszymi transakcjami dotyczącymi kontraktu Predict.fun.
Zrzut ekranu wyświetlał transfery 17,253 USDT i 105,63 USDT powiązane z kontraktem oznaczonym jako Predict Fun: CTFAutoRedemptionH…, choć dokładny związek między tymi wcześniejszymi transakcjami a zgłoszonymi kradzieżami nie został ustalony.
Wkrótce potem Naeven opublikował osobną analizę sugerującą, że problem wykracza poza pierwotną skargę.
Mapa transakcji śledczego zidentyfikowała kilka portfeli rzekomo dotkniętych tą samą aktywnością, przy czym transfery przechodziły przez różne adresy, zanim dotarły do Ethereum.
Choć ustalenia sugerują, że celem było wielu użytkowników, dokładna metoda wykorzystana do uzyskania dostępu do ich środków pozostaje nieznana.
Śledczy prześledzili 105 ETH w kierunku Tornado Cash
Ustalenia Naevena sugerują, że domniemany atakujący użył wielu pośredniczących portfeli do zebrania aktywów z dotkniętych adresów, zanim przeniósł zyski do Ethereum.
Według śledczego środki zostały następnie przekazane do Tornado Cash, gdzie mieszanie transakcji może utrudnić śledzenie ich przepływu.
Diagram transakcji pokazał kilka oddzielnych grup portfeli ofiar wysyłających aktywa do adresów zbierających, które następnie kierowały środki przez inne portfele.
Niektóre z przelewów zostały oznaczone jako ruchy z BNB Chain do Ethereum, podczas gdy inne obejmowały bezpośrednie transakcje Ethereum.
Predict.fun działa na BNB Smart Chain, wykorzystując USDT jako zabezpieczenie dla rynków predykcyjnych, na których uczestnicy handlują pozycjami opartymi na wynikach przyszłych wydarzeń.
Platforma wykorzystuje warunkowe kontrakty tokenowe do zarządzania pozycjami i rozliczeniami, w tym transakcjami umorzenia, gdy rynki zostaną rozstrzygnięte.
Nie było potwierdzonej liczby całkowitej liczby dotkniętych użytkowników poza 19 adresami zidentyfikowanymi przez Naevena.
Tornado Cash otrzymało środki z innych kradzieży kryptowalut
Zgłoszony przepływ środków do Tornado Cash następuje po kilku niedawnych incydentach, w których atakujący przenieśli skradzione kryptowaluty przez protokół mieszania.
Wcześniej w tym miesiącu crypto.news poinformowało, że portfele powiązane z eksploatacją protokołu Drift przeniosły około 109 milionów dolarów w Etherze do Tornado Cash w ciągu dwóch dni.
Transakcje obejmowały szacunkowo 44 510 ETH, podczas gdy portfele powiązane z atakującym podobno zatrzymały kolejne 56 569 ETH, o wartości około 138 milionów dolarów.
W osobnym incydencie z października firma zajmująca się bezpieczeństwem blockchain Salus prześledziła około 12,4 miliona dolarów w kryptowalutach z naruszenia skarbca Triple-A do Tornado Cash.
Śledczy zidentyfikował 56 depozytów obejmujących 4 970 ETH, w tym 49 przelewów po 100 ETH i siedem przelewów po 10 ETH.
Inny przypadek dotyczący złośliwych zatwierdzeń portfeli został zgłoszony 5 października, kiedy firma bezpieczeństwa Salus powiązała nieautoryzowane wypłaty USDG z podpisami permit, które przyznawały atakującym nieograniczone uprawnienia do wydatków.
Według Salus sprawcy wykorzystali uprawnienia do przeniesienia środków natychmiast po uzyskaniu autoryzacji, kończąc zatwierdzenie i wypłatę w ramach jednej transakcji.
Firma ustaliła, że skradzione aktywa zostały podzielone między dwa adresy kontrolowane przez atakującego w proporcji 80% i 20%, przypominając strukturę dystrybucji stosowaną przez niektóre operacje drainerów.
W przypadku Predict.fun śledczy nie ustalili, czy złośliwe zatwierdzenia tokenów odegrały rolę w zgłoszonych stratach, ani czy dotknięte portfele wchodziły w interakcję ze wspólnym skompromitowanym kontraktem.
