Análise do incidente de segurança da Bitrefill e rastreamento do fluxo de fundos roubados

Em 17 de março, a Bitrefill revelou oficialmente um ataque cibernético ocorrido em 1 de março. A técnica de ataque apresenta várias semelhanças com os ataques anteriores do Lazarus Group / BlueNoroff contra outras empresas do setor de ativos criptográficos. A equipe de segurança Beosin, combinando informações de ameaças coletadas e dados públicos da Bitrefill, realizou uma análise das táticas de ataque e do rastreamento de fundos, compartilhando os resultados a seguir:

Análise das táticas de ataque

De acordo com a Bitrefill, o ataque inicial ocorreu através da invasão de um laptop de um funcionário, de onde foram roubadas credenciais antigas,

Permissões de acesso à carteira: exportaram em massa 18.500 registros de pedidos, incluindo e-mails de usuários, endereços de criptomoedas e IPs; além de falsificarem o consumo de estoque de cartões-presente.

Rastreamento dos fundos roubados

Combinando informações de ameaças e dados de transações na blockchain, a Beosin, por meio de sua plataforma de investigação e rastreamento na blockchain, Beosin Trace, realizou um rastreamento detalhado dos fundos relacionados à perda da Bitrefill, e compartilhou os resultados a seguir:

Atualmente, a Beosin identificou 3 endereços suspeitos de estarem envolvidos no incidente de hacking da Bitrefill:

0x5a0128e21cb8dc515ab8c4e5079b1f0444e92763

0x3d79f9012a13fe7948daaee3b8e9118371450d69

TVfA8wz2quUvRvhqs8VtnCeMyV2VzFAW9R

O fluxo de fundos é ilustrado na seguinte imagem:

Fluxo de fundos roubados analisado pela Beosin Trace

Dentre eles, o endereço 0x5a0128e21cb8dc515ab8c4e5079b1f0444e92763 transferiu 174 ETH para o Tornado Cash. Devido à dificuldade de rastreamento de fundos em protocolos de mistura como o Tornado Cash, a Beosin, com base em sua experiência em casos de lavagem de dinheiro por mistura, monitorou continuamente todas as operações de depósito e retirada, realizando análises multidimensionais de sequências de transações, valores e padrões de comportamento. Utilizando um algoritmo de rastreamento inteligente desenvolvido internamente, conseguiu penetrar na cadeia de fundos de mistura, identificando o endereço de saída: 0x3d79f9012a13fe7948daaee3b8e9118371450d69.

Posteriormente, esse endereço trocou ETH por TRON na ponte entre blockchains, convertendo 179 ETH em 413.763,75 USDT. Atualmente, esse endereço, TVfA8wz2quUvRvhqs8VtnCeMyV2VzFAW9R, possui um saldo de 575.212,91 USDT.

Todos esses endereços foram marcados pela Beosin KYT como de alto risco, exemplificando-se um deles: