Bu seriya MistTrack araşdırma xidmətinin bir halıdır.
Ümumi baxış
Hakerlər bir layihəyə hücum etdilər və bütün oğurlanmış vəsaitləri TornadoCash-a köçürdülər, bu da layihə tərəfini MistTrack-dan kömək istəməyə sövq etdi. TornadoCash əməliyyatlarını analiz edərək vəsaitləri digər istifadəçilərdən ayıraraq geri çəkilmə ünvanını müəyyən etdik. Bir neçə gün gözlədikdən sonra, oğurlanmış vəsaitlərin bəziləri nəhayət bir mübadilə məntəqəsinə köçürüldü. Oğruların geri çəkilmə ünvanına oğurlanmış vəsaitlərin qaytarılmasını tələb edən bir on-zincir mesajı göndərdik, ya da hüquqi tədbirlərlə üzləşməklə. Oğurlanmış vəsaitlər doqquz saat ərzində komandaya qaytarıldı.
MistTrack Case 01-də aşağıdakı addımları izləməklə mühüm rol oynadı:
1. Tərəflər arasında etimadın qurulması
2. Oğurlanmış vəsaitlərin izlənməsi
3. Haker profilinin analizi
4. TornadoCash geri çəkilmə analizi
5. TornadoCash geri çəkilmələrinin izlənməsi
6. On-çeyn rabitə
7. Zərurət yarandıqda hüquq-mühafizə orqanlarının cəlb olunması və dəstək
Oğurlanmış vəsaitlərin izlənməsi
Komandanın bizdən dəstək istəyi aldıqdan dərhal sonra bu insident üzrə araşdırma və analizə başladıq.
Analizimiz zamanı nəticəyə gəldik ki, bütün oğurlanmış vəsaitlər TornadoCash-ə köçürülüb.
Haker profilinin analizi
MistTrack-in haker profilinə dair analizi bu əsas məqamlar əsasında aparılıb.
Qaz ödənişi mənbəyi (Gas fee source)
İstifadə olunan alətlər
Əməliyyat xronologiyası
Haker profili
Hücumdan əvvəlki analiz
…
Bu hücumdan ilkin maliyyələşmə mənbəyi TornadoCash olub; aşağıda gördüyünüz kimi.
Aşkarlanmanın qarşısını almaq üçün oğurlanmış vəsaitlər tez-tez mübadilə (swap), körpüləmə (bridge) və hətta mürəkkəb texnikalarla yuyulma (launder) edilir. Bu, TornadoCash-ə yatırmazdan əvvəl xxSwap və s. daxil olmaqla müxtəlif alətlərlə edilə bilər.
TornadoCash geri çəkilmə analizi
Yuxarıda təqdim edilən məlumatlara əsasən, “TornadoCash Withdrawal Analysis” Case 01-in həll edə bilməsinə imkan verən əsas açardır.
Aşağıda təsvir edilən alət geri çəkilmə (withdrawal) analizi prosesində istifadə olunur. O, filtrləmə meyarlarına uyğun gələn TornadoCash geri çəkilmə ünvanlarının çeşidlənməsinə kömək etdi.
Geri çəkilmə ünvanlarının siyahısını əldə etdikdən sonra, geri çəkilmə ünvanlarını aşağıdakı xüsusiyyətlərə görə təsnif etdik:
Aktivlik vaxtı dövrü
Qaz qiyməti (Gas price) paylanması
Oxşar platformalarla qarşılıqlı əlaqə
Geri çəkilmə ünvanı nümunələri
Geri çəkilmə məbləği paylanması
Təsnifatlarımızdan birində, onun aşağıdakı xüsusiyyətləri paylaşdığını müəyyən etdik:
Oxşar platformalardan istifadə — xxSwap
Hacker ünvanları ilə eyni aktivlik dövrü
Hakerlərin TornadoCash-ə yerləşdirdiyi məbləğlə uyğun gəlirdi
Daha da önəmlisi, geri çəkilmə ünvanlarından biri orijinal hakerin ünvanı ilə əlaqəli idi. Beləliklə, bu ünvanların hakerlə bağlı olduğuna dair sübut əldə etdik.
TornadoCash geri çəkilmələrinin (Withdrawals) izlənməsi
Biz dərhal müvafiq TornadoCash geri çəkilmə ünvanlarının hamısı barədə əlaqədar tərəflərə xəbər verdik və əlavə fəaliyyətin olub-olmadığını aşkarlamaq üçün MistTrack AML monitorinq sistemimizdən istifadə etdik.
On-çeyn (on-chain) rabitə
Bir neçə gün monitorinqdən sonra bizə bildiriş gəldi ki, hakerlər oğurlanmış vəsaitin bir hissəsini müxtəlif walletlərə köçürdükdən sonra birja (exchange) ünvanına göndəriblər. Biz dərhal zərərçəkənlə əlaqə saxlayıb ən yaxşı fəaliyyət planını müzakirə etdik. Komandaya dəstək üçün hüquq-mühafizə orqanlarına müraciət etməyi və layihəyə hakerə on-çeyn mesaj göndərməkdə köməklik etməyi tövsiyə edirik. Mesaj: “Oğurlanmış vəsaitləri 48 saat ərzində geri qaytarın və bir hissəsini bug bounty kimi saxlayın, əks halda araşdırmamızı davam etdirəcəyik və hüquq-mühafizə orqanlarının köməyi ilə hüquqi addımlar atacağıq.” Bütün proses boyunca biz hüquq-mühafizə orqanlarına sübutlar təqdim etdik və prosesdə iştirak edən bütün ünvanları davamlı olaraq izlədik.
Nəticə
Hakerə on-çeyn mesaj göndərildikdən sonra 9 saat ərzində komandanın oğurlanmış vəsaitinin böyük hissəsi geri qaytarılmışdı.