Ця серія є тематичним дослідженням служби розслідування MistTrack.
Огляд
Хакери атакували проект і перевели всі вкрадені кошти на TornadoCash, що спонукало учасника проекту звернутися за допомогою до MistTrack. Ми виявили набір адрес для зняття коштів, провівши аналіз транзакцій TornadoCash і розділивши кошти інших користувачів. Після кількох днів очікування частина вкрадених коштів нарешті була переведена на обмін. Ми надіслали повідомлення в ланцюжку на адресу виведення хакера з проханням повернути вкрадені кошти або подати до суду. Викрадені кошти повернули колективу протягом дев'яти годин.
MistTrack відіграв важливу роль у випадку 01, виконавши наступні кроки:
1. Встановіть довіру між сторонами
2. Відстеження викрадених коштів
3. Аналіз профілю хакера
4. Аналіз зняття TornadoCash
5. Моніторинг зняття TornadoCash
6. Зв'язок по мережі
7. Залучення та підтримка правоохоронних органів у разі необхідності
Відстеження викрадених коштів
Отримавши запит команди про допомогу, ми негайно розпочали розслідування та аналіз цього інциденту.
Під час аналізу ми дійшли висновку, що всі вкрадені кошти були переведені на TornadoCash.
Аналіз профілю хакера
Аналіз MistTrack профілю хакерів на основі цих ключових моментів.
Плата за газ соус
Використані інструменти
Оперативний графік
Профіль хакера
Аналіз перед нападом
…
Початкове фінансування цієї атаки надійшло від TornadoCash, як ви можете бачити нижче.
Щоб уникнути виявлення, викрадені кошти часто обмінюють, перекривають або навіть відмивають за допомогою складних методів. Це можна зробити за допомогою різноманітних інструментів, таких як xxSwap тощо, перш ніж його буде внесено на TornadoCash.
Аналіз зняття TornadoCash
Виходячи з наданої вище інформації, Аналіз зняття грошей TornadoCash є тим ключем, який Кейс 01 зміг вирішити.
Інструмент, зображений нижче, використовується в процесі аналізу зняття коштів. Це допомогло в сортуванні адрес зняття TornadoCash, які відповідають критеріям фільтрації.
Отримавши список адрес для зняття, ми класифікували адреси для зняття за такими ознаками:
Активний період часу
Розподіл ціни на газ
Взаємодія з подібними платформами
Шаблони адрес для виведення коштів
Розподіл суми зняття
В одній із наших класифікацій ми виявили, що він має схожі характеристики:
Використовував аналогічні платформи — xxSwap
Той самий період активності, що й адреси хакера
Відповідно до суми, внесеної хакерами в TornadoCash
Що ще важливіше, одна з адрес вилучення була пов’язана з початковою адресою хакера. Таким чином ми підтверджуємо, що ці адреси пов’язані з хакером.
Моніторинг зняття TornadoCash
Ми негайно повідомили зацікавлені сторони про всі відповідні адреси зняття TornadoCash і використали нашу систему моніторингу AML MistTrack, щоб попередити нас про будь-які подальші дії.
Спілкування по мережі
Після кількох днів моніторингу ми отримали сповіщення про те, що хакери відправили частину вкрадених коштів на обмін після переведення їх на різні гаманці. Ми негайно зв’язалися з потерпілим, щоб обговорити найкращі дії. Ми радимо команді звернутися до правоохоронних органів за підтримкою та допомогти проекту надіслати хакеру повідомлення в мережі. Повідомлення: «Поверніть викрадені кошти протягом 48 годин і збережіть частину як винагороду за помилки, або ми продовжимо наше розслідування та вживемо судових заходів за допомогою правоохоронних органів». Протягом усього процесу ми надавали правоохоронним органам докази та постійно контролювали всі залучені адреси.
Результат
Протягом 9 годин після того, як хакер надіслав повідомлення в мережі, більшість вкрадених коштів команди було повернуто.