Ushbu turkumda MistTrack tergov xizmati bilan bog‘liq bir holat o‘rganiladi.
Umumiy ma’lumot
Hakerlar loyihaga hujum qilib, o‘g‘irlangan barcha mablag‘larni TornadoCash’ga o‘tkazishdi. Shundan so‘ng loyiha jamoasi MistTrack’dan yordam so‘radi. TornadoCash tranzaksiyalarini tahlil qilib, mablag‘larni boshqa foydalanuvchilarning mablag‘laridan ajratish orqali yechib olish manzilini aniqladik. Bir necha kun kutgach, o‘g‘irlangan mablag‘larning bir qismi nihoyat birjaga o‘tkazildi. Biz hakerning yechib olish manziliga zanjir ichidagi xabar yuborib, o‘g‘irlangan mablag‘larni qaytarishni, aks holda qonuniy choralar ko‘rilishini talab qildik. O‘g‘irlangan mablag‘lar to‘qqiz soat ichida jamoaga qaytarildi.
MistTrack 01-holatda quyidagi bosqichlar orqali muhim rol o‘ynadi:
1. Tomonlar o‘rtasida ishonchni mustahkamlash
2. O‘g‘irlangan mablag‘larni kuzatish
3. Xaker profilini tahlil qilish
4. TornadoCash’dan mablag‘ yechib olinishini tahlil qilish
5. TornadoCash’dan mablag‘ yechib olinishini kuzatish
6. Blokcheyn ichidagi muloqot
7. Zarur hollarda huquqni muhofaza qiluvchi organlarni jalb etish va ulardan yordam olish
O‘g‘irlangan mablag‘larni kuzatish
Jamoaning yordam so‘rovini olgach, ushbu hodisani zudlik bilan tekshirish va tahlil qilishni boshladik.
Tahlil davomida o‘g‘irlangan barcha mablag‘lar TornadoCash’ga o‘tkazilgan degan xulosaga keldik.
Xaker profilini tahlil qilish
MistTrack xaker profilini quyidagi muhim jihatlar asosida tahlil qildi.
Gaz to‘lovi manbasi
Foydalanilgan vositalar
Faoliyat xronologiyasi
Xaker profili
Hujumdan oldingi tahlil
…
Quyida ko‘rib turganingizdek, ushbu hujum uchun dastlabki mablag‘ TornadoCash’dan kelib tushgan.
Aniqlanib qolmaslik uchun o‘g‘irlangan mablag‘lar ko‘pincha turli usullar yordamida almashtiriladi, boshqa tarmoqlarga o‘tkaziladi yoki hatto yuviladi. TornadoCash’ga kiritilishidan oldin bu ish xxSwap kabi turli vositalar yordamida amalga oshirilishi mumkin.
TornadoCash’dan mablag‘ yechib olinishini tahlil qilish
Yuqorida keltirilgan ma’lumotlarga asoslanib aytish mumkinki, TornadoCash’dan mablag‘ yechib olinishini tahlil qilish 01-holatni yechishda muhim omil bo‘ldi.
Quyida tasvirlangan vosita mablag‘larni yechib olish tahlili jarayonida qo‘llaniladi. U filtrlash mezonlariga mos keladigan TornadoCash’dan mablag‘ yechib olish manzillarini saralashga yordam berdi.
Mablag‘ yechib olish manzillari ro‘yxatini olgach, ularni quyidagi xususiyatlarga ko‘ra tasnifladik:
Faollik davri
Gaz narxlari taqsimoti
O‘xshash platformalar bilan o‘zaro aloqa
Mablag‘ yechib olish manzillaridagi namunalar
Yechib olingan mablag‘ miqdori taqsimoti
Tasniflarimizdan birida biz o‘xshash xususiyatlarga ega manzilni aniqladik:
O‘xshash platformalardan foydalanilgan — xxSwap
Xaker manzillari bilan bir xil faollik davri
Xakerlar TornadoCash’ga kiritgan mablag‘ miqdoriga mos keladi
Eng muhimi, mablag‘ yechib olish manzillaridan biri xakerning asl manzili bilan bog‘liq edi. Bu esa ushbu manzillar xakerga aloqador ekanini isbotladi.
TornadoCash’dan mablag‘ yechib olinishini kuzatish
Tegishli TornadoCash’dan mablag‘ yechib olish manzillari haqida barcha manfaatdor tomonlarni darhol xabardor qildik va keyingi har qanday faollik haqida ogohlantirish olish uchun MistTrack AML monitoring tizimimizdan foydalandik.
Blokcheyn ichidagi muloqot
Bir necha kunlik kuzatuvdan so‘ng, xakerlar o‘g‘irlangan mablag‘larning bir qismini turli hamyonlarga o‘tkazgach, birjaga yuborganini bildiruvchi ogohlantirish oldik. Eng to‘g‘ri yo‘lni muhokama qilish uchun darhol jabrlanuvchi bilan bog‘landik. Jamoaga huquqni muhofaza qiluvchi organlardan yordam so‘rashni va loyihaga xakerga blokcheyn orqali xabar yuborishda ko‘maklashishni tavsiya qildik. Xabar: “O‘g‘irlangan mablag‘larni 48 soat ichida qaytaring va bir qismini zaiflikni aniqlash uchun mukofot sifatida qoldiring, aks holda tergovni davom ettirib, huquqni muhofaza qiluvchi organlar ko‘magida qonuniy choralar ko‘ramiz.” Butun jarayon davomida huquqni muhofaza qiluvchi organlarga dalillarni taqdim etdik va aloqador barcha manzillarni uzluksiz kuzatib bordik.
Natija
Xakerga blokcheyn orqali xabar yuborilganidan keyin 9 soat ichida jamoaning o‘g‘irlangan mablag‘larining katta qismi qaytarildi.