Premia Labs зазнала експлойту криптовалюти на суму приблизно $464 600 на Arbitrum, і, за повідомленнями, зловмисник перемістив викрадені кошти між блокчейнами, перш ніж конвертувати їх у Bitcoin.
Короткий огляд
- PeckShield повідомила, що Premia Labs втратила приблизно $464 600 внаслідок експлойту, спрямованого на її опціонні сховища на Arbitrum.
- Blockaid простежила атаку до порожніх опціонних пулів, флеш-позик і транзакцій, які дозволили зловмиснику вивести заставу зі сховищ.
- За повідомленнями, викрадені активи перемістилися з Arbitrum до Ethereum, перш ніж бути конвертованими в Bitcoin через Chainflip і NEAR Intents.
- Незалежний аналіз ончейн-даних виявив шість уражених сховищ, що містили WBTC, WETH, USDC.e та ARB.
- Атака сталася після низки інцидентів із безпеки криптовалют, пов'язаних із міжланцюговими переказами та послугами децентралізованої торгівлі.
Згідно з даними фірми з блокчейн-безпеки PeckShield, зловмисник переказав викрадені активи з Arbitrum до Ethereum, перш ніж використати Chainflip і NEAR Intents для обміну їх на BTC. Її повідомлення про безпеку від 1 листопада оцінило збитки в $464 600, що еквівалентно приблизно 131 ETH за оцінкою, наведеною в початкових звітах.
Інцидент торкнувся опціонних сховищ, пов'язаних із Premia Labs, компанією ончейн-розробки, що стоїть за деривативною платформою Kyan. Дослідники з безпеки виявили серію транзакцій, які перемістили заставу зі сховищ за допомогою новостворених торгових пулів.
Зловмисник Premia Labs спустошує опціонні сховища за допомогою флеш-позик
Фірма з блокчейн-безпеки Blockaid першою повідомила про експлойт 1 листопада, заявивши, що приблизно $400 500 було виведено в результаті двох транзакцій.
Її початкові висновки описували зловмисника, який створив порожні опціонні пули, позичив кошти через флеш-позики та придбав опціони, що призвело до блокування застави зі сховищ у цих пулах.
Потім зловмисник вивів заставу як ліквідність, що дозволило активам, які спочатку зберігалися в сховищах Premia, переміститися до гаманців, контрольованих зловмисником.
Флеш-позики дозволяють користувачам позичати криптовалюту без надання традиційної застави, за умови, що позику буде погашено в межах тієї ж блокчейн-транзакції.
У цьому випадку висновки Blockaid вказують на те, що позичені кошти допомогли зловмиснику здійснити угоди, які перенаправили активи зі сховищ у пули, створені для цієї операції.
Фірма з безпеки попередила, що експлойт тривав на момент публікації її перших висновків. Тому її оцінка в $400 500 охоплювала транзакції, виявлені на тому етапі, тоді як PeckShield згодом повідомила про більшу суму в $464 600.
Уражені активи включали 3,64 wrapped Bitcoin, приблизно 43,47 wrapped Ethereum, 48 479 USDC.e та 46 215 ARB.
Згідно із записами транзакцій, два основні виведення відбулися близько 03:15 UTC 1 листопада з інтервалом приблизно в одну секунду.
Різні оцінки збитків відображають окремі оцінки інциденту і не повинні розглядатися як додаткові крадіжки.
Викрадені кошти Premia переміщуються через Chainflip і NEAR Intents
Після того як застава залишила уражені сховища, PeckShield відстежила переміщення викрадених активів з Arbitrum до Ethereum.
За повідомленнями, зловмисник продовжив перекази через Chainflip і NEAR Intents — дві послуги, які підтримують обмін криптовалют між різними блокчейн-мережами.
Chainflip дозволяє користувачам обмінювати активи між підтримуваними мережами, не покладаючись на звичайну централізовану біржу. NEAR Intents координує транзакції, в яких користувачі вказують активи, які вони хочуть отримати.
PeckShield визначив Bitcoin як актив, отриманий через повідомлений маршрут конвертації.
Використання кількох сервісів означає, що слідчі повинні відстежувати транзакції через окремі блокчейн-мережі, щоб встановити, куди були надіслані викрадені активи.
Однак повідомлені перекази не встановлюють, що будь-яка з платформ свідомо допомагала зловмиснику. Жоден із сервісів не був визначений як джерело вразливості Premia.
Інцидент із Premia стався на тлі посиленої уваги до відмивання криптовалют після злому Binance 29 жовтня.
Як crypto.news повідомляв раніше, зловмисник, який атакував Binance, перемістив викрадені активи через кілька мереж, тоді як емітенти токенів і блокчейн-слідчі працювали над заморожуванням коштів.
Слідчі простежили частину цих активів до децентралізованих сервісів кредитування та обміну, де транзакції продовжувалися після початкової крадіжки.
Зловмисник, який атакував Premia, використав інший метод для отримання коштів: Blockaid визначив маніпуляцію з пулом опціонів, а не компрометацію контролю над гаманцем біржі.
Криптослідчі стикаються з ще одним кросс-чейн інцидентом безпеки
Переміщення викрадених коштів через сервіси DeFi привернуло увагу після кількох нещодавніх криптовалютних атак.
Під час інциденту з Binance слідчі виявили контрольований зловмисником гаманець, який вніс 60 мільйонів USDT у Aave, перш ніж позичити приблизно 19 762 wrapped ETH.
Активність із позичання спонукала захисників безпеки Aave запровадити тимчасові обмеження на кількох ринках кредитування.
Розслідування щодо Aave від 31 жовтня встановило, що сам протокол кредитування не був скомпрометований, хоча його надзвичайні заходи тимчасово обмежили нові депозити та позичання.
Згодом Aave знову відкрив свої постраждалі ринки після завершення перевірок безпеки.
Окремо розслідування гаманця Binance виявило шкідливі транзакції авторизації Ethereum, які дозволили зловмиснику перенаправити кошти з гарячого гаманця.
Ці інциденти стосувалися різних слабких місць, але слідчі зіткнулися з переміщенням викрадених активів між криптовалютними мережами та фінансовими протоколами.
З того часу ФБР закликало біржі, операторів децентралізованих фінансів і постачальників блокчейн-послуг блокувати транзакції, пов'язані з ідентифікованими зловмисниками зі злому Binance.
На момент перших звітів про безпеку Premia Labs не оприлюднила детального публічного пояснення щодо постраждалих сховищ, домовленостей про відновлення або будь-якого запланованого відшкодування.
