Bagaimana peretas mencuri $ 1,5 miliar dalam crypto dari Dompet Dingin Bybit

Saat kelompok peretas Korea Utara Lazarus mencuri hampir $ 1,5 miliar Token Ethereum dari Crypto Exchange Bybit, satu pertanyaan adalah: bagaimana? Token disimpan dalam dompet dingin, tidak terhubung ke internet dan secara teoritis di luar jangkauan cybertherhieves.

Jawaban singkatnya adalah, para peretas menipu karyawan BITBIT, termasuk CEO Ben Zhou, untuk menyetujui serangkaian transaksi penipuan.

Penyelidik Crypto Zachxbt terbongkar Identitas Pencuri di Platform Sosial X, dan Firma Analisis Crypto Arkham Intelligence diverifikasi temuannya.

Analisis ini menyoroti kerentanan keamanan utama dalam ekosistem crypto. Yaitu, baik BITBIT dan yang lainnya menunjukkan kesulitan yang dapat datang dengan memverifikasi legitimasi transaksi secara manual sebelum menandatangani pada mereka.

Pengaturan

BITBIT memegang berbagai cryptocurrency di dompet dingin. Ini berarti bahwa ia menyimpan kredensial yang terkait dengan akun cryptocurrency tertentu di komputer yang tidak terhubung langsung ke Internet. Secara khusus, Bybit memegang eter di dompet dingin yang dipegang oleh Safe, sebuah perusahaan yang berspesialisasi dalam penyimpanan dompet dingin.

BYBIT secara berkala menarik diri dari dompet dingin ini untuk menambah apa yang disebut dompet hangat, kata Zhou dalam posting online dan wawancara setelah pencurian Jumat. Di dompet hangat, kredensial diadakan secara online dan transaksi dapat dibuat secara otomatis, tetapi keterlibatan manusia diperlukan untuk menandatangani transaksi dan mengirimkannya ke dompet panas atau buku besar yang didistribusikan. BYBIT menggunakan dompet hangat untuk melengkapi dompet panasnya, yang digunakan untuk secara aktif memindahkan cryptocurrency.

Sistem ini memungkinkan BITBIT untuk menjaga keseimbangan keamanan dan likuiditas untuk aset crypto -nya, tergantung pada seberapa banyak cryptocurrency yang dibutuhkan perusahaan untuk bertransaksi atau bertahan dalam cadangan pada waktu tertentu.

Ketika perusahaan memindahkan cryptocurrency dari dompet dingin ke dompet yang hangat, ia menggunakan pendekatan multi-penandatangan, yang sering disebut Multisig, yang melibatkan banyak orang meninjau secara manual dan menyetujui transaksi sebelum dieksekusi.

Dalam kasus pencurian hari Jumat, Zhou ditetapkan untuk menjadi penandatangan terakhir dalam transaksi.

Pencurian

Kelompok Lazarus tampaknya telah mencuri dana dari BITBIT dengan memanipulasi pandangan masing-masing penandatangan dompet dingin THERBIT memiliki transaksi 400.000-eter, atau dengan menghadirkan transaksi yang tampak sah yang dapat diidentifikasi oleh BITBIT sebagai penipuan dengan yang lebih dalam- Ulasan kedalaman.

Zhou mengatakan serangan itu terjadi setelah dia menerima permintaan untuk menandatangani transaksi yang dia yakini akan memindahkan uang dari dompet dingin Bitbit ke dompet hangat.

Ketika Zhou melihat kontrak pintar yang akan menjalankan transaksi, ia memiliki alamat yang benar dan URL dari aman, tetapi “pesan penandatanganannya adalah mengubah logika kontrak pintar dari dompet dingin ETH kami,” katanya di X.

Serangan ini tampaknya sangat bergantung pada rekayasa sosial daripada eksploitasi teknis, menurut beberapa pengamat.

“Peretas tidak merusak kode,” tulis Gautham Santhosh, salah satu pendiri Polynomialfi, sebuah sistem untuk perdagangan turunan di blockchain Ethereum, pada X. “Mereka menghancurkan manusia.”

Dengan akun Zhou, kesalahan ini mungkin merupakan hasil dari tidak cukup memverifikasi transaksi yang ditandatangani karena tujuan dana dikaburkan oleh kode yang menjalankan kontrak pintar.

“Salah satu masalah dengan, setidaknya dari pengalaman saya, dengan transfer dompet dingin terkait Ethereum adalah bahwa itu tidak persis menunjukkan tujuan; itu menunjukkan banyak kode,” kata Zhou saat pembaruan langsung tentang pembaruan tentang itu tentang insiden.

Zhou kemudian mulai mengatakan bahwa dia tidak sepenuhnya memeriksa sesuatu tentang kontrak pintar.

“Saya memeriksa kodenya, tetapi saya tidak memeriksa sepenuhnya jika – biasanya, juga alamat, alamat tujuan, tidak ada di dalam penandatanganan multi -g,” kata Zhou, memotong dirinya sendiri.

Meskipun Lazarus tampaknya telah menipu Zhou dan tim BITBIT yang menyetujui transaksi penipuan, tidak jelas bagaimana tepatnya kelompok tersebut menyajikan kontrak yang tampak sah untuk ditandatangani oleh tim.

Untuk bagiannya, Safe mengatakan bahwa sistemnya sendiri untuk menandatangani transaksi tetap aman.

“Kami belum menemukan bukti bahwa frontend aman resmi dikompromikan,” perusahaan itu menulis di x pada hari Jumat. “Namun, karena hati -hati, aman {dompet} untuk sementara waktu berhenti fungsi tertentu. Keamanan pengguna adalah prioritas utama kami, dan kami akan segera memberikan pembaruan lebih banyak.”

Perusahaan sedang melakukan “tinjauan forensik komprehensif semua layanan,” menurut Salah satu pendiri yang aman Lukas Schor, yang juga memohon pengguna untuk “berhati-hatilah agar Anda memverifikasi transaksi yang Anda tandatangani dengan benar.”

Dampaknya

Setelah Bitbit menyetujui transaksi penipuan, Lazarus merutekan dana curian melalui sejumlah dompet dan pertukaran dalam upaya untuk mencuci uang. Dompet ini telah terdaftar oleh Arkham dan Zachxbt dengan harapan pertukaran lain akan secara sukarela membuat mereka hitam dari transaksi.

Terlepas dari pencurian itu, Bybit berhasil tetap pelarut, dan pada hari Senin, itu masih memproses penarikan – suatu prestasi yang menurut beberapa pengamat mengejutkan.

“Pertukaran seperti BITBIT biasanya tidak terus beroperasi setelah peretasan miliaran dolar,” kata Santhosh Polynomialfi. “A $ 1,46B+ Hack yang tidak merusak pertukaran belum pernah terjadi sebelumnya.”

Nic Puckrin, a financial analyst and founder of crypto blog The Coin Bureau, told American Banker that the “biggest issue” to resolve in the wake of this incident is so-called “blind signing,” which is when someone signs a crypto transaction without melihat semua detail transaksi.

“Kedengarannya seperti titik lemah yang jelas, tetapi itu sering terjadi dan merupakan cacat mendasar dari transaksi tipe mesin virtual Ethereum,” kata Puckrin. “Namun, saya tahu bahwa masalah ini sudah dikerjakan oleh dompet perangkat keras terkemuka di industri.”

Emma Kinery menyumbangkan pelaporan.