6,2 миллиона долларов из средств, украденных в результате эксплойта SagaEVM, были переведены в Tornado Cash

6,2 миллиона долларов из средств, украденных в результате эксплойта SagaEVM, были отслежены и переведены в Tornado Cash, сервис конфиденциальности на Ethereum, который помогает скрывать цепочки транзакций.

Этот метод является распространенным среди хакеров, пытающихся отмыть значительные суммы украденных средств и сделать их возврат практически невозможным.

Эксплойт, направленный на SagaEVM, описанную как платформу для запуска других блокчейнов, произошел 21 января. После инцидента команда опубликовала в X, что блокчейн был приостановлен на блоке 6593800 в связи с подтвержденным эксплойтом в сети SagaEVM.

Как хакеры отмывали украденные средства

Согласно отчету компании CertiK, специализирующейся на безопасности блокчейна, злоумышленники изначально распределили средства по пяти отдельным кошелькам, прежде чем перевели их в сервис конфиденциальности через несколько транзакций.

"Принимаются меры по устранению последствий, и команда полностью сосредоточена на решении проблемы", - написала команда в то время.

В результате эксплойта почти 7 миллионов долларов США в USDC, yUSD, ETH и tBTC были переведены в основную сеть Ethereum. Кошелек злоумышленника был идентифицирован и передан на биржи и мосты, чтобы занести его в черный список и, возможно, вернуть украденные средства.

Согласно отчету Certik, 6,2 миллиона долларов из этих средств были разделены и переведены в сервис Tornado Cash. Это, как ожидается, затруднит усилия по восстановлению и возмещению ущерба.

Эта последняя транзакция добавляет к репутации Tornado Cash, которая уже омрачена санкциями со стороны США и юридическими проблемами, которые до сих пор преследуют разработчиков этого сервиса.

Злоумышленники продолжают использовать его для сокрытия своих следов после эксплойтов, и он выполняет именно то, для чего был создан - помогает им исчезнуть.

Что произошло с SagaEVM?

Согласно отчету, опубликованному командой 21 января, инцидент включал скоординированную последовательность развертывания контрактов, межсетевую активность и последующее снятие ликвидности.

В отчете было указано, что команда приостановила работу сети из предосторожности, пока активно расследовала и устраняла последствия. Отмечалось, что основная задача заключалась в предотвращении дальнейшего ущерба путем приостановки работы SagaEVM, анализа масштабов последствий с использованием архивных данных и трассировок выполнения, а также укрепления соответствующих компонентов перед перезапуском.

Основные компоненты, затронутые эксплойтом, включают сеть SagaEVM, а также Colt и Mustang. Другие компоненты, такие как основная сеть Saga SSC, протокол консенсуса Saga, безопасность валидаторов и другие сети Saga, не были затронуты.

"Не было сбоев в работе консенсуса, компрометации валидаторов или утечки ключей подписи", - говорится в отчете. "Более широкая сеть Saga остается структурно надежной".

Команда заявила, что следующие шаги будут включать проверку первопричины, исправление и укрепление затронутых межсетевых и развертываемых компонентов, координацию с партнерами по экосистеме, где это необходимо, и публикацию более подробного технического отчета.

Уязвимость связана с Cosmos

После получения поддержки от инженеров Cosmos Labs, команда сообщила, что проблема возникла из-за исходного кода Ethermint, что делает ее унаследованной проблемой.

В ответ на это сообщение, Cosmos Labs опубликовала заявление, в котором признала, что осведомлена об инциденте, и заявила, что тесно сотрудничает с Saga и внешними партнерами по безопасности для расследования и устранения "подтвержденной уязвимости".

Они сообщили, что связались с определенной группой EVM-цепочек, которые, по их мнению, были затронуты инцидентом, и предоставили краткосрочные меры по смягчению последствий.

"Как всегда, мы рекомендуем всем проектам продолжать внедрять базовые практики безопасности, такие как ограничение скорости и мониторинг безопасности, для усиления раннего обнаружения и смягчения последствий", - написали они в X.