Хакер украл $70 миллионов в биткоинах, используя фишинговую атаку на кошелек, но вернул большую часть добычи после переговоров

В пятницу, 3 мая, хакер незаконно получил более 70 миллионов долларов в биткоинах на свой кошелек благодаря успешной попытке «address poisoning» в отношении кита.

Жертва, которая по ошибке отправила 1,155 WBTC на похожий на свой адрес, дни общалась с мошенником через сообщения on-chain и в Telegram, предлагая вознаграждение в размере 10%.

В конце концов, спустя пару дней хакер вернул большую часть украденных биткоинов, однако использовал эфирную валюту в качестве возмещения.

Посмотрим все детали ниже.

Хакер получает 70 миллионов долларов в биткоинах через атаку «address poisoning» на кошелек кита

Согласно данным от 3 мая 2024 года от криптографической компании CertiK, неудачный пользователь ошибочно отправил сумму в Bitcoin, равную примерно 70 миллионам долларов, на кошелек хакера.

Упомянутый кит стал жертвой атаки “address poisoning”, то есть разновидности фишинговых техник, заключающейся в отправке жертве легитимных транзакций с использованием адреса, очень похожего на ее собственный (с первыми и последними шестью символами идентичными).

В общей сложности убыток составляет 1.155 Wrapped Bitcoin (WBTC)

Attacker stole 1155 #WBTC by using an address poisoning attack; the victim's intended transfer address was:

0xd9A1b0B1e1aE382DbDc898Ea68012FfcB2853a91

but it was sent to:

0xd9A1C3788D81257612E2581A6ea0aDa244853a91

resulting in the theft of 1155 WBTC, valued at approximately… pic.twitter.com/NuvjJDiz4G

— Alvosec 🛡️ (@alvosec) May 9, 2024

Все началось 2 мая, когда миллионер конвертировал 29,6 миллионов DAI в 502 WBTC, значительно увеличив свой баланс в биткоинах, а затем начал переводить все это в новый кошелек по очевидным причинам безопасности.

Пользователь отправил 0,05 ETH на новый кошелек в качестве тестовой транзакции и для финансирования газовой комиссии (мы на сети Ethereum), когда через несколько минут хакер, заметив движение on-chain, отправляет транзакцию с 0 ETH жертве, используя «зараженный» адрес.

Часто в мире криптовалют многие люди, чтобы переместить средства с одного кошелька на другой, привыкли копировать и вставлять адрес из истории транзакций, проверяя только совпадение начала и конца в момент отправки средств

В то же время многие провайдеры кошельков удаляют центральную часть адреса в истории из-за внешнего вида пользовательского интерфейса.

Ошибка кита, искусственно вызванная хакером благодаря этой простой, но в то же время эффективной технике фишинга, обошлась ему очень дорого.

В 12:31 3 мая несчастный пользователь официально теряет 1,155 WBTC, скопировав неправильный адрес и отправив миллионное состояние в биткоинах на кошелек, не контролируемый им самим.

Мы можем только представить его разочарование в тот момент, когда он заметил ошибку, настолько банальную, насколько и решающую.

 Ниже приведены детали транзакции, отображенные на Etherscan:

Переговоры on-chain между хакером и жертвой

Сразу после обнаружения ошибки жертвы, хакер попытался замести свои следы, раздробив добычу на биткоины.

Изначально 1.155 WBTC были отправлены отдельно на 8 различных кошельков, с партиями от 122 до 186 монет, а затем были дополнительно разделены и распределены по десяткам криптовалютных кошельков.

Весь украденный сумма была затем конвертирована в ETH, вероятно, чтобы быть отправленной в децентрализованные миксеры, такие как Tornado Cash.

Украденный кит сразу же попытался связаться с хакером, отправляя пустые транзакции на его адрес с заметками внутри.

Первое сообщение, которое ломает лед с выражением «you won bro«, было отправлено 4 мая в 07:02 AM UTC, всего лишь через один день после происшествия.

В сообщении жертва предлагает хакеру оставить себе 10% в качестве вознаграждения, призывая вернуть 90%.

На следующий день продолжаются переговоры с жертвой, которая убеждает своего агрессора вернуть средства. Вот как она цитирует:

У вас есть 24 часа до 10 утра по UTC 6 мая 2024 года, чтобы принять решение, которое, в любом случае, изменит вашу жизнь

В пресс-релизе генеральный директор Match Systems Андрей Кутин, компании по блокчейн кибербезопасности, заявил о заслуге операций вместе с биржей Cryptex, участвовавших в переговорах с злоумышленником, который 5 мая связался с жертвой, запрашивая ее никнейм в Telegram.

Хакер возвращает большую часть средств в ETH после попытки скрыться

Переговоры продолжались на Telegram, вероятно, около 5 дней, прежде чем хакер начал возвращать украденную сумму в биткоинах с помощью сотен различных транзакций, первая из которых была начата 10 мая в 8:47 утра по UTC.

На следующий день было совершено более 225 транзакций кошельков с различных аккаунтов для отправки ETH на адрес жертвы. Значение каждой транзакции варьировалось от 29 до 67 ETH.

Всего хакер отправил общую сумму 22 960 ETH, что составляет примерно 69,7 миллионов долларов на момент транзакций.

Похоже, что в конце концов преступник вернул более 90% изначально договоренной суммы.

Вероятно, на этапе переговоров стало известно, что хакер не смог полностью уничтожить свои следы, в то время как компания по информационной безопасности Match Systems начинала укреплять свою позицию.

В отчете Match Systems платформа заявила, что эксперты по безопасности делают успехи в идентификации злоумышленника. Она заявила:

«Команда Match Systems провела детальный анализ инцидента и выявила несколько возможностей для укрепления позиции в переговорах при последующем общении с злоумышленником. В результате переговоров с злоумышленником, проведенных при участии агентства по информационной безопасности Match Systems […] и обмена криптовалютой Cryptex […], хакер вернул пострадавшему всю украденную сумму в размере 22 960 ETH. В настоящее время у пострадавшего нет претензий к злоумышленнику.«

Все хорошо, что хорошо кончается. Всегда будьте внимательны при переводе ваших биткойнов on-chain и тщательно проверьте адрес кошелька, на который отправляете средства.