Premia Labs poniósł szacunkową stratę w wysokości 464 600 dolarów w wyniku exploitu kryptowalutowego na Arbitrum, a napastnik rzekomo przeniósł skradzione środki między blockchainami, zanim zamienił je na Bitcoina.
Podsumowanie
- PeckShield poinformował, że Premia Labs stracił około 464 600 dolarów w wyniku exploitu wymierzonego w jego skarbce opcji na Arbitrum.
- Blockaid prześledził atak do pustych pul opcji, pożyczek błyskawicznych i transakcji, które pozwoliły napastnikowi wycofać zabezpieczenie skarbca.
- Skradzione aktywa rzekomo przeniesiono z Arbitrum do Ethereum, zanim zamieniono je na Bitcoina za pośrednictwem Chainflip i NEAR Intents.
- Niezależna analiza on-chain zidentyfikowała sześć dotkniętych skarbców zawierających WBTC, WETH, USDC.e i ARB.
- Atak następuje po kilku incydentach bezpieczeństwa kryptowalut obejmujących transfery międzyłańcuchowe i zdecentralizowane usługi handlowe.
Według firmy zajmującej się bezpieczeństwem blockchain PeckShield, napastnik przeniósł skradzione aktywa z Arbitrum do Ethereum, zanim użył Chainflip i NEAR Intents, aby zamienić je na BTC. Jego alert bezpieczeństwa z 1 listopada security alert określił straty na 464 600 dolarów, co odpowiada około 131 ETH według wyceny podanej w początkowych raportach.
Incydent dotknął skarbców opcji powiązanych z Premia Labs, firmą zajmującą się rozwojem on-chain stojącą za platformą instrumentów pochodnych Kyan. Badacze bezpieczeństwa zidentyfikowali serię transakcji, które przeniosły zabezpieczenie ze skarbców za pomocą nowo utworzonych pul handlowych.
Napastnik Premia Labs opróżnia skarbce opcji za pomocą pożyczek błyskawicznych
Firma zajmująca się bezpieczeństwem blockchain Blockaid po raz pierwszy oznaczyła exploit 1 listopada, informując, że około 400 500 dolarów zostało opróżnionych w dwóch transakcjach.
Jej wstępne ustalenia opisywały napastnika, który utworzył puste pule opcji, pożyczył środki za pomocą pożyczek błyskawicznych i kupił opcje, co spowodowało zablokowanie zabezpieczenia skarbca w tych pulach.
Napastnik następnie wycofał zabezpieczenie jako płynność, pozwalając aktywom pierwotnie przechowywanym w skarbcach Premia przenieść się do portfeli kontrolowanych przez napastnika.
Pożyczki błyskawiczne pozwalają użytkownikom pożyczać kryptowalutę bez zapewniania tradycyjnego zabezpieczenia, pod warunkiem że pożyczka zostanie spłacona w ramach tej samej transakcji blockchain.
W tym przypadku ustalenia Blockaid wskazują, że pożyczone środki pomogły napastnikowi wykonać transakcje, które przekierowały aktywa skarbca do pul utworzonych na potrzeby operacji.
Firma zajmująca się bezpieczeństwem ostrzegła, że exploit trwał w momencie publikacji jej pierwszych ustaleń. Jej szacunek 400 500 dolarów obejmował zatem transakcje zidentyfikowane na tym etapie, podczas gdy PeckShield następnie podał większą kwotę 464 600 dolarów.
Dotknięte aktywa obejmowały 3,64 zapakowanego Bitcoina, około 43,47 zapakowanego Ethereum, 48 479 USDC.e i 46 215 ARB.
Według zapisów transakcji dwa główne wycofania miały miejsce około 03:15 UTC 1 listopada, w odstępie około jednej sekundy.
Różne szacunki strat odzwierciedlają odrębne oceny incydentu i nie należy ich traktować jako dodatkowych kradzieży.
Skradzione środki Premia przechodzą przez Chainflip i NEAR Intents
Gdy zabezpieczenie opuściło dotknięte skarbce, PeckShield śledził skradzione aktywa przenoszone z Arbitrum do Ethereum.
Napastnik rzekomo kontynuował transfery za pośrednictwem Chainflip i NEAR Intents, dwóch usług, które obsługują zamiany kryptowalut między różnymi sieciami blockchain.
Chainflip pozwala użytkownikom wymieniać aktywa między obsługiwanymi sieciami bez polegania na konwencjonalnej scentralizowanej giełdzie. NEAR Intents koordynuje transakcje, w których użytkownicy określają aktywa, które chcą otrzymać.
PeckShield zidentyfikował Bitcoina jako aktywo otrzymane za pośrednictwem zgłoszonej ścieżki konwersji.
Wykorzystanie wielu usług oznacza, że śledczy muszą podążać za transakcjami w oddzielnych sieciach blockchain, aby ustalić, dokąd wysłano skradzione aktywa.
Jednak zgłoszone transfery nie dowodzą, że którakolwiek z platform świadomie pomagała atakującemu. Żadna z usług nie została zidentyfikowana jako źródło luki w Premia.
Incydent w Premia ma miejsce w czasie zwiększonej uwagi poświęcanej praniu kryptowalut po ataku na Binance z 29 października.
Jak wcześniej informował crypto.news, atakujący Binance przeniósł skradzione aktywa przez wiele sieci, podczas gdy emitenci tokenów i śledczy blockchain pracowali nad zamrożeniem środków.
Śledczy prześledzili część tych aktywów do zdecentralizowanych usług pożyczkowych i wymiany, gdzie transakcje były kontynuowane po początkowym oszustwie.
Atakujący Premia użył innej metody pozyskania środków, a Blockaid zidentyfikował manipulację pulą opcji zamiast przejęcia kontroli nad portfelem giełdy.
Śledczy kryptowalutowi stają w obliczu kolejnego incydentu bezpieczeństwa międzyłańcuchowego
Przemieszczanie skradzionych środków przez usługi DeFi wzbudziło wnikliwą analizę po kilku niedawnych atakach na kryptowaluty.
Podczas incydentu z Binance śledczy zidentyfikowali kontrolowany przez atakującego portfel, który zdeponował 60 milionów USDT w Aave, a następnie pożyczył około 19 762 opakowanych ETH.
Działalność pożyczkowa skłoniła strażników bezpieczeństwa Aave do wprowadzenia tymczasowych ograniczeń na kilku rynkach pożyczkowych.
Opublikowane 31 października śledztwo w sprawie Aave wykazało, że sam protokół pożyczkowy nie został naruszony, choć jego środki nadzwyczajne tymczasowo ograniczyły nowe depozyty i pożyczki.
Aave następnie ponownie otworzył swoje dotknięte rynki po zakończeniu kontroli bezpieczeństwa.
Osobno śledztwo w sprawie portfela Binance zidentyfikowało złośliwe transakcje autoryzacji Ethereum, które pozwoliły atakującemu przekierować środki z gorącego portfela.
Te incydenty dotyczyły różnych słabości, ale śledczy napotkali skradzione aktywa przemieszczające się między sieciami kryptowalutowymi a protokołami finansowymi.
FBI od tego czasu wezwało giełdy, operatorów zdecentralizowanych finansów i dostawców usług blockchain do blokowania transakcji powiązanych ze zidentyfikowanymi atakującymi z naruszenia Binance.
Premia Labs nie opublikowała szczegółowego publicznego wyjaśnienia dotyczącego dotkniętych sejfów, ustaleń dotyczących odzyskiwania środków ani żadnego planowanego zwrotu w momencie początkowych raportów bezpieczeństwa.
