Onbekende EU-entiteit verliest 106 miljoen dollar bij diefstal van exchange-accounts, niet gelinkt aan Lazarus Group
Blockchain-onderzoeker ZachXBT signaleerde een vermoedelijke diefstal van meer dan 106 miljoen dollar uit meerdere accounts bij gecentraliseerde exchanges van een onbekende entiteit in de Europese Unie, waarbij de middelen werden opgenomen als USDC en USDT. Onderzoekers stellen dat de activiteit meerdere witwasindicatoren vertoont die niet overeenkomen met die van de Noord-Koreaanse Lazarus Group, die werd gelinkt aan de hack van Binance.
Geschreven door de AI-redactie van CoinArticle · op basis van 2 geciteerde bronnen. Hoe we werken
De vermoedelijke diefstal
Blockchain-onderzoeker ZachXBT meldde een vermoedelijke diefstal van meer dan 106 miljoen dollar uit verschillende accounts bij gecentraliseerde exchanges die toebehoren aan een onbekende entiteit in de Europese Unie. De bronnen verschillen over het tijdstip: CryptoPotato stelt dat de middelen op 1 november zijn weggehaald, terwijl Decrypt schrijft dat de opnames op zondag plaatsvonden, wat eveneens 1 november is. Beide media melden dat de activa werden opgenomen als de stablecoins USDC en USDT door wat ZachXBT een "illegale actor" noemde.
Het slachtoffer is niet bekendgemaakt en de aanvaller is niet geïdentificeerd.
Hoe de middelen werden verplaatst
Volgens de bevindingen van ZachXBT handelde de aanvaller in de daaropvolgende 24 uur snel. De middelen werden van USDC omgezet in ETH en via de instant-exchangediensten WellWallet en Kyrrex geleid. Een deel van de activa werd vervolgens via Wagyu omgezet in Monero (XMR), een non-custodial, cross-chain instant exchange en bridge die zich richt op privacy-activa. De middelen werden daarnaast over verschillende blockchains gebridged.
Beide media wijzen erop dat de keuze van de platforms van belang is. Instant exchanges staan doorgaans swaps toe met beperkte identiteitsverificatie, en Monero verbergt afzenders, ontvangers en bedragen. Decrypt wijst er ook op dat het verlaten van USDC en USDT opvallend is, omdat de uitgevers van deze stablecoins tokens kunnen bevriezen; door ze te verlaten wordt de kans op een bevriezing kleiner.
Toeschrijving en onenigheid
ZachXBT zei er zeer zeker van te zijn dat de activiteit niet gelinkt is aan Lazarus Group, de overkoepelende naam voor de door de Noord-Koreaanse staat gesteunde hackers, en verwees daarbij naar meerdere witwasindicatoren. Geen van beide bronnen meldt dat de dader is geïdentificeerd, dus de toeschrijving blijft open.
Het contrast met de hack van Binance is opvallend. De FBI heeft de diefstal bij Binance ter waarde van 6,3 tot 6,4 miljard dollar toegeschreven aan TraderTraitor, een Noord-Koreaanse groep. De berichtgeving verschilt over de omvang van die hack: CryptoPotato noemt 6,3 miljard dollar, terwijl Decrypt 6,4 miljard dollar noemt. In dat geval heeft Tether binnen 37 minuten gestolen USDT op Ethereum bevroren en heeft Circle alle 823 miljoen dollar aan gestolen USDC bevroren, waardoor volgens Elliptic ongeveer 44% van de buit werd vastgezet. Decrypt meldt dat de overige middelen over ongeveer 12.000 wallets waren verspreid. Geen van beide bronnen meldt of middelen uit de diefstal bij de EU-entiteit zijn bevroren.
Bredere beveiligingsincidenten
De EU-zaak kwam enkele dagen na de hack van Binance en naast andere beveiligingsincidenten. De Braziliaanse exchange Mercado Bitcoin meldde een beveiligingsincident met meer dan 40 miljoen dollar aan verdachte uitgaande transacties over 10 netwerken, waaronder Bitcoin, Ethereum en Solana. Blockchain-beveiligingsbedrijf Hypernative signaleerde de uitgaande transacties, volgens de lokale nieuwssite BitNotícias zoals geciteerd door CryptoPotato. Mercado Bitcoin bevestigde later het incident, zei het te hebben ingeperkt en stelde dat klanten niet waren getroffen en er geen datalek had plaatsgevonden. Het platform schortte tijdelijk stortingen en opnames op terwijl het onderzoek liep. Decrypt meldt dat de exchange na de hack opnames stopzette.
Afzonderlijk onderzoekt BTCPay Server berichten dat aanvallers hot wallets op oudere instanties hebben leeggehaald, wat versies 2.4.1 en eerder betreft nadat aanvallers naar verluidt admin-toegang hadden verkregen. Het platform zegt geen geloofwaardige meldingen te hebben van het leegtrekken van hot wallets bij de nieuwste release 2.4.7 en heeft gebruikers aangespoord te updaten. Decrypt meldt dat BTCPay handelaren heeft verteld hun servers uit te schakelen vanwege de berichten.
Waarom het ertoe doet
Voor traders
De uitstroom van USDC en USDT naar stablecoins laat zien hoe snel aanvallers middelen kunnen verplaatsen. Houd daarom rekening met bevriezingen door uitgevers en opnamestops bij getroffen platforms.
Voor beleggers
Herhaalde diefstallen van negencijferige bedragen binnen één week roepen vragen op over custody en de beveiliging van exchanges, wat in de komende maanden het vertrouwen in gecentraliseerde platforms kan drukken.
Voor bouwers
Blootstelling van hot wallets op oudere BTCPay-versies laat zien dat achterlopende patches echte risico's met zich meebrengen. Teams die zelf gehoste betalingsinfrastructuur draaien, doen er goed aan hun implementaties nu te controleren en bij te werken.
Dit artikel is alleen bedoeld ter informatie en is geen financieel advies. Lees de volledige disclaimer.
