Pelo menos 19 carteiras vinculadas à plataforma de mercado de previsões Predict.fun teriam sido drenadas de aproximadamente 105 ETH, no valor de US$ 260.000, com investigadores rastreando os supostos fundos roubados através do Ethereum até o misturador de criptomoedas Tornado Cash.
Resumo
- Pelo menos 19 carteiras vinculadas à Predict.fun teriam sido drenadas de aproximadamente 105 ETH no valor de US$ 260.000, de acordo com descobertas compartilhadas pelo investigador on-chain Naeven.
- O suposto incidente surgiu primeiro depois que um usuário relatou ter perdido cerca de US$ 5.000 e levantou preocupações de que outros usuários da Predict.fun estivessem enfrentando saques não autorizados semelhantes.
- Os investigadores rastrearam os supostos fundos roubados através de múltiplas carteiras intermediárias e do Ethereum antes de serem supostamente encaminhados ao misturador de criptomoedas Tornado Cash.
- Naeven alertou que mais carteiras podem ter sido afetadas e instou os usuários com fundos restantes na Predict.fun a moverem seus ativos para fora da plataforma.
- A causa exata do suposto dreno de carteiras permanece incerta, com os investigadores ainda não tendo estabelecido se permissões comprometidas, assinaturas maliciosas ou um contrato vulnerável estiveram envolvidos.
O investigador on-chain Naeven relatou o suposto ataque em 27 de outubro, depois que outro usuário de criptomoedas conhecido como dethective divulgou ter perdido cerca de US$ 5.000 e levantou preocupações de que outras pessoas usando a Predict.fun estivessem enfrentando saques não autorizados semelhantes.
De acordo com Naeven, as vítimas identificadas perderam coletivamente 105 ETH, embora o investigador acredite que o número real de carteiras afetadas possa ser maior.
A investigação descobriu que fundos de múltiplos endereços estavam sendo transferidos entre redes antes de chegarem ao Tornado Cash, um serviço de mistura de criptomoedas comumente usado para ocultar o histórico de transações de ativos digitais.
Naeven compartilhou um diagrama de fluxo de transações mostrando várias carteiras de vítimas conectadas a endereços intermediários, com os fundos eventualmente convergindo para carteiras identificadas como drenadoras.
O investigador instou os usuários que ainda tinham fundos na Predict.fun a moverem seus ativos para fora da plataforma.
Dreno de carteiras da Predict.fun relatado pela primeira vez por usuário afetado
O suposto incidente ganhou atenção pela primeira vez depois que o usuário do X dethective divulgou que aproximadamente US$ 5.000 haviam sido retirados de sua carteira na hora anterior.
Na postagem, o usuário sugeriu que algo estava errado com a Predict.fun e alegou que outras carteiras afetadas pareciam ter conexões com a plataforma de mercado de previsões.
“Acho que há algo errado acontecendo com a Predictfun e não sou a única vítima”, escreveu o usuário.
A postagem incluía um endereço de carteira, 0x8b001D7378DBc19C1c62E39c0fC9FFAD84182fBa, que o usuário identificou como receptor dos fundos roubados.
Uma captura de tela de transação anexada mostrava uma transferência de saída de aproximadamente 4.845 USDT de um endereço rotulado como Kernel, juntamente com transações anteriores envolvendo um contrato da Predict.fun.
A captura de tela exibia transferências de 17,253 USDT e 105,63 USDT associadas a um contrato rotulado como Predict Fun: CTFAutoRedemptionH…, embora a conexão precisa entre essas transações anteriores e o suposto roubo não tenha sido estabelecida.
Pouco depois, Naeven publicou uma análise separada sugerindo que o problema ia além da reclamação inicial.
O mapa de transações do investigador identificou várias carteiras supostamente afetadas pela mesma atividade, com transferências passando por diferentes endereços antes de chegar ao Ethereum.
Embora as descobertas sugiram que vários usuários foram alvo, o método preciso usado para acessar seus fundos permanece desconhecido.
Investigadores rastreiam 105 ETH em direção ao Tornado Cash
As descobertas de Naeven sugerem que o suspeito de ataque usou várias carteiras intermediárias para coletar ativos de endereços afetados antes de mover os recursos para o Ethereum.
De acordo com o investigador, os fundos foram subsequentemente encaminhados para o Tornado Cash, onde a mistura de transações pode tornar mais difícil acompanhar seu movimento.
O diagrama de transações mostrou vários grupos separados de carteiras de vítimas enviando ativos para endereços de coleta, que então encaminhavam os fundos por meio de outras carteiras.
Algumas das transferências foram rotuladas como movimentações da BNB Chain para o Ethereum, enquanto outras envolveram transações diretas no Ethereum.
A Predict.fun opera na BNB Smart Chain, usando USDT como garantia para mercados de previsão onde os participantes negociam posições com base nos resultados de eventos futuros.
A plataforma usa contratos de tokens condicionais para gerenciar posições e liquidações, incluindo transações de resgate quando os mercados são resolvidos.
Não houve um número confirmado para o total de usuários afetados além dos 19 endereços identificados por Naeven.
O Tornado Cash recebeu fundos de outros roubos de criptomoedas
O movimento relatado de fundos para o Tornado Cash segue vários incidentes recentes nos quais atacantes transferiram criptomoedas roubadas por meio do protocolo de mistura.
No início deste mês, o crypto.news relatou que carteiras associadas ao exploit do Drift Protocol haviam transferido aproximadamente US$ 109 milhões em Ether para o Tornado Cash ao longo de dois dias.
As transações envolveram cerca de 44.510 ETH, enquanto carteiras ligadas ao atacante teriam retido outros 56.569 ETH, avaliados em aproximadamente US$ 138 milhões.
Em um incidente separado em outubro, a empresa de segurança blockchain Salus rastreou aproximadamente US$ 12,4 milhões em criptomoedas da violação do tesouro da Triple-A até o Tornado Cash.
O investigador identificou 56 depósitos envolvendo 4.970 ETH, incluindo 49 transferências de 100 ETH e sete transferências de 10 ETH.
Outro caso envolvendo aprovações maliciosas de carteira foi relatado em 5 de outubro, quando a empresa de segurança Salus vinculou saques não autorizados de USDG a assinaturas de permissão que concederam aos atacantes permissões ilimitadas de gasto.
De acordo com a Salus, os perpetradores usaram as permissões para mover fundos imediatamente após obterem autorização, concluindo a aprovação e o saque dentro de uma única transação.
A empresa descobriu que os ativos roubados foram divididos entre dois endereços controlados pelos atacantes em uma divisão de 80% e 20%, semelhante à estrutura de distribuição usada por algumas operações de drainer.
No caso da Predict.fun, os investigadores não estabeleceram se aprovações maliciosas de tokens desempenharam um papel nas perdas relatadas ou se as carteiras afetadas interagiram com um contrato comprometido comum.
