攻擊者拼手速 詳解去中心化工具洗白Liquid被盜9000多萬美元_ETH:OIN

2021年8月19日，日本交易所Liquid熱錢包中價值9,000多萬美元加密資產被盜，據PeckShield「派盾」統計包含：約480萬美元的BTC、3,250萬美元的ETH、4,490萬美元的ERC-20代幣、183萬美元的TRON、1,290萬美元的XRP。?

據PeckShield「派盾」旗下反洗錢態勢感知系統CoinHolmes顯示，截至目前ETH代幣暫未發生異動，仍鎖在攻擊者的地址里。

攻擊者得手后，首先將ERC-20代幣快速轉入UniSwap、SushiSwap、1inch等DEXs中，通過DEXs將所獲近百種代幣兌換為ETH或通過Ren跨鏈橋兌換為BTC，再將所兌換的ETH通過跨鏈橋轉至以太坊，最后從鏈上混幣器Tornado.cash流出，整個流程十分嫻熟，這一點也可以從攻擊者首先從處置ERC-20代幣看出。

Poly Network攻擊者已將約1.919億OOE token轉移到0x706開頭的EOA 地址:金色財經報道，據PeckShieldAlert監測，Poly Network攻擊者已將約1.919億OOE token轉移到0x706開頭的EOA 地址。[2023/7/9 22:26:21]

由于所盜的ERC-20代幣中有些代幣流動性較差，容易遭到發行商凍結、交易回滾或者硬分叉等方式阻礙代幣轉出，攻擊者首先依次將這些代幣轉入不需要KYC、無需注冊登錄、即用即走的DEXs，然后將大部分代幣轉換為主流代幣ETH，并匯集到新地址，再從隱私協議Tornado.cash流出。

從Etherscan上可以看出，自8月19日上午4時19分開始，攻擊者開啟「價值優先」的掃蕩式兌換，首先從USDT、USDC、DAI等穩定幣開始清空，然后趕在代幣被凍結前將它們轉入DEXs。

Ronin Network攻擊者地址已幾乎轉出100%盜取資金:據歐科云鏈鏈上天眼監測顯示，Ronin Network 攻擊者地址于北京時間 5月 4日15:32:25再次轉出12595.3枚 ETH （約3600萬美元）至新地址0x08723392ed15743cc38513c4925f5e6be5c17243。截止5月4日，Ronin Network攻擊者地址中盜取資金已基本全部被提出，僅剩約1.8枚ETH。

據OKLink ETH瀏覽器數據統計，此次史上最大Defi被盜案件，黑客攻擊地址累計大額轉出（轉出金額超500ETH）共28次，轉出約17.2萬枚ETH。[2022/5/4 2:49:19]

這是迄今為止，第二起中心化機構被盜通過去中心化機構洗錢的安全事件。據PeckShield「派盾」統計，目前中心化機構被盜后，通過去中心化服務進行洗錢的案例還屈指可數，但類似的洗錢手段已經在DeFiProtocols攻擊、跑路中呈現出增長的趨勢。

PeckShield：BSC鏈上Impossible Finance 遭到閃電貸攻擊攻擊者獲利49.7萬美元:北京時間 6 月 21 日，PeckShield “派盾”預警顯示，BSC鏈上DeFi協議Impossible Finance遭到閃電貸攻擊，攻擊者獲利1,510.75WBNB（合計 49.7 萬美元）。[2021/6/21 23:53:28]

新興洗錢三部曲

攻擊者在得手后，大致將洗錢的流程分為三步：

1.批量轉移：將所盜ERC-20資產轉入DEXs，避免被凍結、回滾，同時將所盜資產進行整合，為下一步實施清洗做準備工作；

動態 | 攻擊者利用Oracle WebLogic服務器漏洞安裝挖掘XMR的惡意軟件:據cointelegraph報道，網絡安全公司趨勢科技在6月10日發布的博客文章中披露，攻擊者利用Oracle WebLogic服務器中的漏洞安裝挖掘monero（XMR）的惡意軟件，同時使用證書文件將其隱藏。根據趨勢科技的帖子，針對Oracle WebLogic漏洞（“CVE-2019-2725”）的安全補丁已于今年春季在國家漏洞數據庫中發布。然而，趨勢科技引用了SANS ISC InfoSec論壇上出現的報告，聲稱該漏洞已經被用于加密劫持目的，并已對此進行了驗證和分析。[2019/6/11]

2.批量兌換：通過DEXs或跨鏈橋將ERC-20代幣兌換為ETH或BTC，通過跨鏈橋將加密資產歸置，為批量轉移到隱私協議做準備；

聲音 | 慢霧預警：攻擊者開啟狩獵攻擊模式:針對近期 EOSABC 連續三次被成功攻擊的細節剖析來看，前兩次是我們多次預警的交易排擠攻擊，但今天凌晨的第三次并非交易排擠攻擊，交易排擠只是障眼法，而真正達到攻擊目的的是交易回滾攻擊（開獎>被攻擊者拒絕>繼續開獎，直到滿足獲勝條件，攻擊者不再拒絕）。通過我們的分析及和項目方的對稱，攻擊者是同一撥人，攻擊手法也在根據項目的更新情況變化。通過對過往的情報關聯分析，攻擊者已經開啟了狩獵攻擊模式，從攻擊前的踩點分析到攻擊中的具體方法再到攻擊后的洗錢操作，且攻擊者對我們的情報披露及相關防御策略的關注也很及時。

我們呼吁 EOS DApp 項目方在 DApp 上線前做好足夠的安全審計及風控策略，并及時關注來自安全公司的威脅情報同步。同時，我們呼吁攻擊者停止繼續攻擊并歸還攻擊所得，我們將聯合相關交易平臺及執法部門采取進一步措施。攻擊者在 EOS 上的相關賬號如下：loveforlover、wangshaoyong、zhangyanjing、floatingsnow、dolastattack、doespaperock、sunshinesnow、norealrandom、welcomerobin、whateverbeen、winsonknight、nodispromise 等數十個關聯賬號。[2019/1/30]

3.隱蔽階段：將歸置后的ETH或BTC轉移到TornadoCash、Typhoon、WasabiWallet等混幣工具中，混淆資產來源和最終收益者，抹除非法資產的痕跡，混淆資產源頭逃離追蹤。

TornadoCash是基于零知識證明在以太坊上實現的隱私交易中間件。它使用zk-SNARK，能夠以不可追溯的方式將ETH以及ERC20代幣發送到任何地址。

在實際應用中，當用戶將加密貨幣存入隱私池后即可獲得一筆存款憑證，此后用戶可以通過存款憑證向任何地址中提取先前存入的加密貨幣。由于在存款憑證的生成和使用時轉賬的數據都不包含憑證本身，因此可以保證存取款兩筆轉賬完全獨立。另外，由于中繼服務的存在，取款時的以太坊地址甚至不需要擁有支付轉賬費用的ETH，即可以提款至完全空白的地址。

事實上，TornadoCash并非無法破解的隱私協議。前段時間英國破獲的DeFi協議StableMagnetFinance跑路案反映出，在安全公司、交易所、社區和的聯動下，通過CoinHolmes反洗錢態勢感知系統對攻擊者資產進行持續追蹤，在社區持續收集項目方信息，并積極與合作的情況下，可通過分析追蹤社區反饋的線索鎖定涉案相關成員，并在物證人證的幫助下，迫使涉案相關成員歸還存放在TornadoCash中的ETH。

據CoinHolmes追蹤顯示，攻擊者將逾千萬枚XRP分四次轉入其地址后，分三批分別轉入Binance、Huobi、Poloniex等交易所。

Liquid通過反洗錢態勢系統追蹤到此信息后，緊急聯系這幾家中心化機構將攻擊者地址設置黑名單，旨在緊急凍結被盜的XRP資產。

但在此之前攻擊者已經通過交易所將部分XRP轉換為BTC，據CoinHolmes反洗錢態勢系統顯示，這些XRP已經被轉換為192枚BTC，并經通過去中心化的混幣器Wasabi錢包流出。

Wasabi錢包采用「CoinJoin」的方法，將多個用戶的交易匯總成一筆大額交易，其中包含多個輸入和輸出。隨著參與用戶的增長，私密性與可靠性就越強。此外，Wasabi錢包還采用「區塊過濾器」，通過下載整個數據塊進一步打亂交易信息，來增強隱私性和抗審查性，這給相關執法機構追蹤此類資金的流轉帶來挑戰性。

隨著監管部門對中心化機構洗錢情況的嚴厲監管，中心化機構不斷提高KYC需求，使得中心化洗錢渠道遭到沉重打擊，去中心化工具越來越受到犯罪分?的青睞，越來越多的?法資?開始轉向去中心化渠道洗錢。PeckShield「派盾」建議相關執法部門引?新的監管?具和技術，為進一步有效遏制利?虛擬貨幣的洗錢做準備。

截至9月6日，CoinHolmes監控到攻擊者的BTC地址發生異動，共轉出90BTC，CoinHolmes將持續監控被盜加密資產的轉移。

Tags：ETHSHIOINBTCtogetherbnb中文版下載shibmerican幣行情VirtacoinplusBTCPAY價格

OKB