6,2 миллиона долларов из средств, украденных в результате эксплойта SagaEVM, были переведены в Tornado Cash

6,2 миллиона долларов из средств, украденных в результате эксплойта SagaEVM, были отслежены и переведены в Tornado Cash, сервис конфиденциальности на Ethereum, который помогает скрывать цепочки транзакций.

Этот метод является распространенным среди хакеров, пытающихся отмыть значительные суммы украденных средств и сделать их возврат практически невозможным.

Эксплойт, направленный на SagaEVM, описанный как платформа для запуска других блокчейнов, произошел 21 января. После инцидента команда опубликовала в X сообщение о том, что блокчейн был приостановлен на высоте 6593800 в связи с подтвержденным эксплойтом в цепочке SagaEVM.

Как хакеры отмывали украденные средства

Согласно отчету компании по безопасности блокчейнов CertiK, злоумышленники изначально распределили средства по пяти отдельным кошелькам, прежде чем перевели их в сервис конфиденциальности через несколько транзакций.

«Принимаются меры по устранению последствий, и команда полностью сосредоточена на решении проблемы», — написала команда в то время.

В результате эксплойта на основной сеть Ethereum было переведено около 7 миллионов долларов США в USDC, yUSD, ETH и tBTC. Кошелек злоумышленника был идентифицирован и передан на биржи и мосты, чтобы занести его в черный список и, возможно, вернуть украденные средства.

Согласно отчету Certik, 6,2 миллиона долларов из этих средств были разделены и переведены в сервис Tornado Cash. Это, вероятно, затруднит усилия по восстановлению и урегулированию.

Эта последняя транзакция добавляет к репутации Tornado Cash, который уже имеет неоднозначную историю, включая санкции со стороны США и юридические проблемы, которые до сих пор преследуют его разработчиков.

Злоумышленники продолжают использовать его для сокрытия следов после эксплойтов, и он выполняет именно то, для чего был создан — помогает им исчезнуть.

Что произошло с SagaEVM?

Согласно отчету, опубликованному командой 21 января, инцидент включал скоординированную последовательность развертывания контрактов, межсетевую активность и последующее снятие ликвидности.

В документе было указано, что команда приостановила работу сети из предосторожности, в то время как она активно расследовала и устраняла последствия. Было подчеркнуто, что основная задача заключалась в предотвращении дальнейшего ущерба путем приостановки работы SagaEVM, в то время как предпринимаются меры по устранению последствий; в проверке масштаба ущерба с использованием архивных данных и трассировок выполнения; и в усилении безопасности соответствующих компонентов перед перезапуском.

Основные компоненты, затронутые эксплойтом, включают цепочку SagaEVM, а также Colt и Mustang. Другие компоненты, такие как основная сеть Saga SSC, консенсус протокола Saga, безопасность валидаторов и другие цепочки Saga, не были затронуты.

«Не было сбоев в консенсусе, компрометации валидаторов или утечки ключей подписи», — говорится в документе. «Более широкая сеть Saga остается структурно надежной».

Команда заявила, что следующие шаги включают в себя завершение проверки первопричины, исправление и усиление безопасности затронутых межсетевых и развертываемых компонентов, координацию с партнерами по экосистеме, где это необходимо, и публикацию более подробного технического отчета.

Уязвимость связана с Cosmos

После получения поддержки от инженеров Cosmos Labs, команда сообщила, что проблема возникла из-за исходного кода Ethermint, что делает ее унаследованной проблемой.

В ответ на это сообщение, Cosmos Labs опубликовала заявление, в котором признала, что знает об инциденте, и заявила, что тесно сотрудничает с Saga и внешними партнерами по безопасности для расследования и устранения "подтвержденной уязвимости".

Они сообщили, что связались с определенной группой EVM-цепочек, которые, по их мнению, были затронуты инцидентом, и предоставили краткосрочные меры по смягчению последствий.

"Как всегда, мы рекомендуем всем проектам продолжать внедрять базовые практики безопасности, такие как ограничение скорости и мониторинг безопасности, для усиления раннего обнаружения и смягчения последствий", - написали они в X.