O drenador CryptoBilis Ledger continuou movendo criptomoedas roubadas, transferindo US$ 13,84 milhões nas últimas 48 horas depois que a Arkham Intelligence rastreou US$ 95,35 milhões em roubos envolvendo 1.486 endereços.
Resumo
- A Arkham rastreou US$ 95,35 milhões roubados de 1.486 endereços entre 7 e 9 de outubro.
- O atacante teria roubado US$ 80,60 milhões em apenas 51 minutos em 9 de outubro.
- Pelo menos US$ 69,19 milhões passaram por swaps e bridges em várias redes blockchain.
- O atacante depositou 9.529 ETH, no valor de US$ 23,27 milhões, no Tornado Cash por meio de 559 transações.
- A Arkham identificou US$ 30,44 milhões em participações restantes, incluindo US$ 10 milhões em USDT congelados.
De acordo com a Arkham Intelligence, os roubos ocorreram entre 7 e 9 de outubro, com a maior parte da criptomoeda levada durante um período de 51 minutos em 9 de outubro. A empresa de análise de blockchain relatou que US$ 30,44 milhões permanecem em endereços ligados ao atacante, incluindo US$ 10 milhões em USDT congelados pela Tether.
Sua mais recente investigação rastreou a criptomoeda roubada por várias redes blockchain, identificando transferências envolvendo USDT, Bitcoin, Ethereum e USDD. As descobertas vêm quase três semanas depois que a Ledger começou a investigar relatos de fundos desaparecidos de clientes que compraram carteiras de hardware por meio da revendedora do Sudeste Asiático CryptoBilis.
CryptoBilis Ledger Drainer roubou US$ 80,6 milhões em 51 minutos
A análise da Arkham descobriu que a maior parte do roubo ocorreu em 9 de outubro, começando às 05:07:48 UTC. Em 51 minutos, o atacante coletou US$ 80,60 milhões, incluindo US$ 58,19 milhões em USDT por meio de 335 transferências na blockchain Tron.
Durante o mesmo período, 112 endereços Bitcoin transferiram 203,26 BTC, avaliados em US$ 16,73 milhões, em um único bloco às 05:54 UTC. Outros US$ 14,14 milhões em USDT chegaram às carteiras Tron do atacante até as 15:00 UTC.
A investigação identificou transferências menores antes do roubo principal. Entre 7 e 8 de outubro, o atacante recebeu 7,41 BTC, no valor de aproximadamente US$ 610.000, de 137 endereços.
Estimativas anteriores das perdas variaram. A empresa de análise de blockchain Bitquery estimou US$ 102 milhões roubados de 335 carteiras em seis redes em sua investigação de 16 de outubro. A Ledger não confirmou de forma independente o valor total roubado ou o número de clientes afetados.
Fundos roubados movidos por bridges e exchanges Ethereum
Após o roubo, o atacante começou a converter os ativos roubados e movê-los entre redes blockchain. A Arkham rastreou pelo menos US$ 69,19 milhões por meio de swaps e transações de bridge, incluindo US$ 20,37 milhões em USDT convertidos em USDD na Tron.
Outros US$ 20 milhões em USDT foram movidos da Tron para Ethereum por meio do USDT0. Outras transferências converteram USDT e USDC da Tron, BNB Chain e Polygon em ETH, incluindo US$ 8,95 milhões por meio da Relay, US$ 5,91 milhões por meio da Chainflip e US$ 13,96 milhões por meio de rotas menores.
Em 9 de outubro, carteiras Ethereum associadas ao atacante receberam 5.895 ETH, no valor de US$ 14,72 milhões, de pontes incluindo Relay, THORChain, NEAR Intents, Bridgers e Mayan. O atacante então converteu US$ 11,30 milhões em USDT transferido via ponte em aproximadamente 4.530 ETH por meio do Rizzolver.
Transferências separadas enviaram 5.185 ETH, avaliados em US$ 12,97 milhões, diretamente para endereços recém-criados. Desse montante, 3.600 ETH vieram de US$ 9 milhões transferidos por meio do USDT0, enquanto outros 1.585 ETH passaram pelo Chainflip para três novos endereços.
Entre 9 e 11 de outubro, o atacante enviou US$ 14,65 milhões em USDD para 20 endereços Tron. Dezenove subsequentemente converteram os tokens em USDT por meio do SUN.io e depositaram US$ 14,13 milhões no THORChain.
Tornado Cash recebeu US$ 23,27 milhões em ETH roubado
A Arkham identificou 9.529 ETH, avaliados em US$ 23,27 milhões, depositados no Tornado Cash por meio de 559 transações.
Os depósitos incluíram 63 transferências de 100 ETH, 307 transferências de 10 ETH, 156 transferências de 1 ETH e 33 transações de 0,1 ETH. Antes dos depósitos, 8.102,6 ETH haviam se movido de carteiras ligadas ao atacante para 26 novos endereços Ethereum.
As transferências em Bitcoin continuaram separadamente. A Arkham rastreou 102,15 BTC, no valor de US$ 8,33 milhões, saindo das carteiras do atacante por meio de quatro transações. Em 27 de outubro, uma porção de 17,97 BTC juntou-se a 52,51 BTC em uma saída não gasta contendo 70,47 BTC, no valor de US$ 5,67 milhões.
Os números mais recentes da empresa mostram 4.932 ETH no valor de US$ 11,49 milhões e 111,28 BTC no valor de US$ 8,96 milhões em endereços marcados. Outros 10.000.010 USDT permanecem congelados na Tron após a intervenção da Tether em 9 de outubro.
Ledger confirmou implante de hardware na investigação da carteira CryptoBilis
As descobertas seguem a investigação da Ledger sobre carteiras de hardware comprometidas vendidas por meio da CryptoBilis. Como o crypto.news relatou anteriormente, a Ledger confirmou em 13 de outubro que sua equipe de segurança havia descoberto um implante de hardware não autorizado capaz de capturar frases de recuperação exibidas durante a configuração do dispositivo.
A Ledger disse que cada roubo confirmado que havia investigado envolvia um dispositivo comprado por meio da CryptoBilis, embora não tivesse estabelecido como os componentes entraram no hardware afetado. O fabricante subsequentemente apertou os requisitos de segurança dos revendedores e suspendeu as vendas autorizadas de carteiras de hardware em vários mercados do Sudeste Asiático.
Em um desdobramento relacionado, a polícia de Singapura relatou dois casos de carteiras comprometidas em 28 de outubro, envolvendo aproximadamente SGD 3,5 milhões em perdas de criptomoedas. Investigações preliminares descobriram que componentes maliciosos dentro dos dispositivos afetados podiam capturar as frases de recuperação ou chaves privadas dos usuários.
A Ledger disse que sua investigação não identificou evidências de que seus sistemas internos ou canais de vendas diretas tenham sido comprometidos.
