هذه السلسلة عبارة عن دراسة حالة لخدمة التحقيق MistTrack.

ملخص

هاجم قراصنة مشروعًا وحولوا جميع الأموال المسروقة إلى TornadoCash، مما دفع فريق المشروع إلى طلب المساعدة من MistTrack. اكتشفنا عنوان السحب المحدد من خلال إجراء تحليل لمعاملات TornadoCash وفصل الأموال من مستخدمين آخرين. بعد بضعة أيام من الانتظار، تم تحويل بعض الأموال المسروقة أخيرًا إلى إحدى البورصات. أرسلنا رسالة على السلسلة إلى عنوان سحب القراصنة، طالبين إعادة الأموال المسروقة أو مواجهة إجراء قانوني. تمت إعادة الأموال المسروقة إلى الفريق في غضون تسع ساعات.

لعبت MistTrack دورًا حيويًا في الحالة 01 من خلال اتباع الخطوات التالية:

1. بناء الثقة بين الأطراف

2. تتبّع الأموال المسروقة

3. تحليل ملف المخترق

4. تحليل عمليات سحب TornadoCash

5. مراقبة عمليات سحب TornadoCash

6. الاتصال على السلسلة

7. تدخل ودعم جهة إنفاذ القانون عند الحاجة

تتبّع الأموال المسروقة

بعد تلقي طلب الفريق للمساعدة، بدأنا فورًا تحقيقًا وتحليلًا في هذا الحادث.

خلال تحليلنا، خلصنا إلى أن جميع الأموال المسروقة تم تحويلها إلى TornadoCash.

تحليل ملف المخترق

تحليل MistTrack لملف المخترقين بناءً على نقاط رئيسية محددة.

• مصدر رسوم الغاز

• الأدوات المستخدمة

• الجدول الزمني التشغيلي

• ملف المخترق

• تحليل ما قبل الهجوم

• …

نشأت عملية التمويل الأولية من هذا الهجوم من TornadoCash، كما يمكنك أن ترى أدناه.

لتجنب الاكتشاف، يتم غالبًا تبديل الأموال المسروقة أو تمريرها عبر جسور (bridged) أو حتى غسلها باستخدام تقنيات متقدمة. ويمكن القيام بذلك عبر مجموعة متنوعة من الأدوات، مثل xxSwap، إلخ، قبل إيداعها في TornadoCash.

تحليل عمليات سحب TornadoCash

استنادًا إلى المعلومات المقدمة أعلاه، يُعد “تحليل عمليات سحب TornadoCash” هو المفتاح الذي تمكنت بواسطته الحالة 01 من حلّها.

الأداة الموضحة أدناه تُستخدم في عملية تحليل عمليات السحب. وقد ساعدت في فرز عناوين سحوبات TornadoCash التي تستوفي معايير التصفية.

بعد الحصول على قائمة عناوين السحب، صنّفنا عناوين السحب وفقًا للخصائص التالية:

• فترة النشاط

• توزيع سعر الغاز

• التفاعل مع منصات مماثلة

• أنماط عنوان السحب

• توزيع مبلغ السحب

في إحدى تصنيفاتنا، وجدنا أنها تشترك في خصائص متشابهة:

• استخدم منصات مماثلة — xxSwap

• نفس فترة النشاط مثل عناوين المخترقين

• متسق مع المبلغ المودَع من قِبل المخترقين في TornadoCash

والأهم من ذلك، كان أحد عناوين السحب مرتبطًا بعنوان المخترق الأصلي. وبذلك قدم لنا دليلًا على أن هذه العناوين كانت متعلقة بالمخترق.

مراقبة عمليات سحب TornadoCash

قمنا فورًا بإخطار جميع الأطراف المعنية بجميع عناوين سحب TornadoCash ذات الصلة، واستخدمنا نظام مراقبة MistTrack الخاص بنا لتنبيهنا إلى أي نشاط إضافي.

اتصال على السلسلة (On-chain)

بعد أيام قليلة من المراقبة، تلقينا تنبيهًا يفيد بأن المخترقين قد أرسلوا جزءًا من الأموال المسروقة إلى بورصة بعد تحويلها إلى محافظ مختلفة. تواصلنا فورًا مع الضحية لمناقشة أفضل مسار للعمل. وننصح الفريق بالتواصل مع وكالات إنفاذ القانون للحصول على الدعم، والمساعدة في إرسال رسالة على السلسلة إلى المخترق. الرسالة: “استرد الأموال المسروقة خلال 48 ساعة واحتفظ بجزء كجائزة مكافأة لاكتشاف ثغرة، وإلا فسوف نواصل تحقيقنا ونتخذ إجراءات قانونية بمساعدة وكالات إنفاذ القانون.” طوال العملية بأكملها، زودنا إنفاذ القانون بالأدلة وواصلنا المراقبة المستمرة لجميع العناوين المعنية.

النتيجة

خلال 9 ساعات من إرسال رسالة على السلسلة إلى المخترق، تمت إعادة غالبية الأموال المسروقة الخاصة بفريقنا.