12 сентября в СМИ появились сообщения о взломе протокола THORChain и DEX-агрегатора THORswap. Подозрительные транзакции действительно происходили, но проекты не были жертвами атаки. GetBlock AML Research объясняет, кто на самом деле стал жертвой хакеров.
Взлом персонального кошелька
Личный криптокошелек одного из сооснователей THORChain подвергся атаке. Жертвой хакеров предположительно стал Джон-Пол Торбьёрнсен. В результате злоумышленникам удалось похитить более $1,2 млн. При этом сам протокол THORChain заявил, что сеть работает в штатном режиме и атака не затронула его инфраструктуру. Хакеры использовали анонимный сервис для получения стартовой ликвидности, после чего провели первые транзакции через сеть THORChain.
Сразу после инцидента с адреса, связанного с пострадавшим, было сделано несколько предложений выплатить вознаграждение за возврат украденных активов. Однако никакой реакции от злоумышленников не последовало.
Предложение вернуть похищенные активы, отправленное хакерам
Фишинг через звонок
Известно, что атака произошла во время фальшивого звонка в мессенджере, организованного хакерами. В результате этого доступа к кошельку потерпевшего удалось получить несанкционированным путем, и средства были переведены на адрес злоумышленников.
Хакеры начали активно перемещать украденные активы 9 сентября. Сначала с взломанного кошелька было выведено более 6,2 млн токенов THORChain. Почти сразу после этого они были переправлены на другой адрес, отмеченный как фишинговый.
В течение того же дня злоумышленники провели еще несколько транзакций. В общей сложности они переместили более 6,3 млн токенов в нескольких операциях, а также отправили еще 1,25 млн токенов на отдельный адрес. Самая крупная часть похищенных активов — более 2,7 млн токенов — оказалась на протоколе Kyber, вероятно для обмена и сокрытия источника.
В дальнейшем часть средств была конвертирована в ETH. В общей сложности было получено более 1 600 ETH, которые были распределены по 161 кошельку (примерно по 10 ETH на каждый). Некоторые из этих адресов уже перевели средства через сервис Tornado Cash.
Визуализация: MistTrack
Связь адреса злоумышленников с Tornado Cash
На текущий момент большая часть украденных активов — около $1,2 млн — продолжает храниться на одном из адресов, контролируемых злоумышленниками.
