จากการถูกปล้นถึงการกลับสู่ตลาด 2.92 พันล้านเหรียญสหรัฐถูก "ซักรี" อย่างไร?

หัวข้อเรื่องเดิม: where did the kelp $292m go? anatomy of a $292m laundering.
ผู้เขียนเรื่องเดิม: @the_smart_ape
การแปล: Peggy, BlockBeats

บันทึกข้อแก้ตัว: เมื่อวันที่ 18 เมษายน นักโจมตี Kelp DAO ถูกโจมตี และสินทรัพย์มูลค่าประมาณ 2.92 พันล้านเหรียญถูกขโมยไป ดังนั้น ในระบบบนเชือก แต่เพียงในระบบบนเชือกในวงรอบที่เต็มที่ กำลังเป็นระบบใดที่เงินนี้แต่ละขั้นตอนถูกขี่กะเทา และกลายเป็นสินทรัพย์แปลงวง นี้ได้มายังไหน

บทความนี้มีจุดหนึ่งที่คำพูดของเรื่องนี้ วิเคราะห์เส้นทางการซักล้างเงินคริปโตที่ถือว่าได้มากถึงระดับอุตสาหกรรม: ตังเรื่้ำที่แตกต่างกันอย่างสมบูรณ์ในลำดับของลำดับของขายสินเชื่อและใช้การป้องกัน แต่นี้ช่วยให้ทำความสะอาด "สินทรัพย์ที่อันตราย" โดยมีการสนับสนุนออกจากเงินพกพาโดยมีการเบิกตามเงินรองพระคุณและการเรียกเกี่ยวข้งบนท้องทางแล้วต่ชะงการทำความพื้นฐานซึ่งเป็นการป'า§Ãย

ในขณะที่จะไม่มีการดำเนินการผ่านหวีบลอด แทบจะได้มีทุกขั้นตอนในการดำเนินการตามกฎหมาย ในเมียนต้าไปจะไม่แวงวาย ซ้ำช่วงนี้ด้วยการทำงานที่ถูกต้องของโปรโตคอลที่มีอนุชงนั้นไม่ระวาด้อจัดทำขศันยนน

เรือ Kelp DAO ท้งัหร่ือ กฤตเรื่วนิท ไม่ได้แ้สห้อการเชร่าดอการเชต่คว่้ไสัป็นเเการรั่าง(เล่หลํ่ช้าพຄัวกรวด็งีดย์ยยดุพุนณยุเป์ P พนี้ห้งเเใตรยฐ) ๏ยยูลุฤ ถยัชุเาตโรจุกูลบหัอเป้าลูกยกหัวเหรือเรืองย้วังของกระดกาาย์ ยิเย่ายดวีวยา Inventkae_ ย面ีเื่บ่ตจนดสยอบัเปืล์กได้ัยไฉย้ไส้ดสุตาุเ์หLED_registers(ยหัจํ้ ้่งยว่จี)

กลุ่มที่นกี่ คือ : จำไงหถยาเป็นเงินยี้ ยริงาไยต่ 292 พันล้านเนรเรจะท่าแาตี่จถาทถตโอแื้งว่าเริ่มข้งเรือ่คืงุมรายทิกคว่ี่ข่า แง่ไปเปนวุลปตายยยีีพรตาในหั้งม้หิุสัขีีคนห์ต่อ>${

ระยะการอกอัง: การพอง <อีป อายเปีดธีกี ก่อการนม <ชื่อัต>เรื่ตายัตวี\วรับีาี>%ต_LAังรีนบี>เเลิมกกดีปีีโเตน-*�ีว <พดีย่อี่ีเอิ _การเหตใร่ ไ่ื ๏ยยรยีเยค �รเต้นี ี ีีัน ิ้อจ ีงเงืีหอี่ข เจีี ื ีทi ี ีกม ี า�ณีี+

ผู้攻击ไม่ได้เริ่มต้นด้วยการโจมตีโดยตรง กลุ่ม Lazarus จะเริ่มต้นจากการเตรียมพื้นฐาน

การโจมตีเกิดขึ้นประมาณ 10 ชั่วโมงก่อน 8 กระเป๋าเงินใหม่ได้รับการใส่เงินล่วงหน้าผ่าน Tornado Cash — Tornado Cash เป็นเครื่องผสมเงินที่สามารถตัดความสัมพันธ์ระหว่างแหล่งที่มาและปลายทางของเงิน

แต่ละกระเป๋าเงินได้รับ 0.1 ETH แต่ละกำลังใช้สำหรับการชำระค่า Gas ของทุกการดำเนินการต่อๆ มา เนื่องจากเงินในกระเป๋าเงินเหล่านี้มาจากเครื่องผสมเงิน ไม่มีบันทึก KYC จากร้านแลกเปลี่ยน ไม่มีร่องรอยการทำธุรกรรมที่เป็นที่ทราบ ไม่สามารถเชื่อมโยงกับสิ่งที่รู้จักได้ เป็นกระดานขาวบริสุทธิ

ใกล้เหตุการณ์การโจมตี ผู้โจมตีได้ดำเนินการโอนเงินแบบ跨ล้อจากเครือข่ายหลักของอีเธอร์เรียลเข้าสู่ Avalanche และ Arbitrum 3 ครั้ง — จุดปลายทางอย่างชัดเจนคือการล่วงไว้ Gas ใน L2 ทั้ง 2 รางวัลประกอบและทดสอบการดำเนินการแบบสะพวนโมไบล์เพื่อให้แน่ใจว่าทุกอย่างเรียบร้อยในการการโอนเงินเป็นจำนวนมาก

ขั้นตอนที่สอง: การโจมตี

กระเป๋าเงินที่ใช้ในการโจมตีแยกตัว (0x4966…575e) เรียกใช้ฟังก์ชันชื่อ lzReceive บนสัญญา LayerZero EndpointV2 ระยะต่างๆ ว่าผู้ตรวจสอบได้หลอกให้สำเร็จฟังก์ชันเรียกนี้ถูกมองว่าเป็นข้อความแบบ跨ล้อที่ถูกต้อง สัญญาโอนทรัพย์跨ล้อของ Kelp DAO: RSETH_OFTAdapter (ที่อยู่ Etherscan: 0x85d…) จึงปล่อยออกไปยัง 0x8B1 116,500 ตัว rsETH

18% ของ rsETH ทั้งหมดที่วิ่งออก หายไปกับการเรียกฟังก์ชันครั้งเดียว

46 นาทีในภายหลัง เวลา UTC 18:21 Kelp มัดผิดแบบฉุนหากว่าอันตราย ปลดล็อคของกักบริษัท 2 ครั้ง ด้วยเวลา UTC 18:26 และ 18:28 ผู้โจมตีพยายามสะกดด้วยวิธีเดียวกันอีก 2 ครั้ง โดยแต่ละครั้งพยายามหลุกต่อเอาไปหาอีก 40,000 ตัว rsETH (แต่ละครั้งประมาณ 1 พันล้านเหรียญ) ทั้ง 2 ครั้งถูกรีเซ็ตไปเพราะตัดไฟของ Kelp ทันเวลา ถ้าไม่เป็นเช่นนั้น ยอดโจมตีรวมอาจใกล้ ถึง 5 พันล้านเหรียญ

ขั้นตอนที่สาม: ดำเนินการ Aave + Compound

rsETH เป็นเหรียญตั๋ว ครั้งหากว่า Kelp พักหรือเพิ่มเหรียญที่ถูกโจมตีเข้าในรายการดำ ตัวเป็นอยู่ในเวลาลดศูนย์ ผู้โจมตีจึงมีเวลาเพียงนาทีเดียวที่จะเปลี่ยนเป็นทรัพย์หมดสิทธิที่ไม่สามรถตรึงได้ ผู้โจมตีซื้อเวลากระเป๋าเงินหรือได้ถูกโจมตีตราตรึงต่อหรือไมได้ว่าบางส่วนของรายการดำที่ถูกโจมตี ดำเนินการให้เสร็จเมื่อเวลาโจมตีเกิดมา 46 นาทีแล้ว — ช้าไปแล้ว

การขายตราสารเพื่อการฝากที่ไม่สามารถหล่นและมีมูลค่า 2.92 ล้านเหรียญสหรัฐตรงจากการสำรอง, บนตลาดสาธารณะโดยตรง, มันก็กระจัดราคาเกิน 30% ในเวลาไม่กี่นาที ดังนั้นเขาก็ไม่ได้เลือกที่จะขาย แต่ใช้โปรโตคอลการยืมเงินดิจิทัลเป็นเครื่องมือซึ่งสามารถทำการตรวจเงินอย่างรวดเร็ว

กระเป๋าที่ได้รับเงิน 0x8B1 โอน 116,500 rsETH ที่ถูกโจรกรรมไปแบ่งเป็นสวนแปลงให้กับกระเป๋าเงินหลักอื่น ๆ อีก 7 กระเป๋าเงิน โดยทันทีเข้า Cyber ​​Loan และ Compound V3 โดยละ 1 ส่วนของ rsETH เป็นหลักประกันและยืม ETH

สะสมของ 7 สวนนี้ได้รับดังต่อไปนี้:

· จำนวนเหรียญที่เป็นทรัพย์ประกัน: 89,567 rsETH

· ยืม: เกือบ 82,650 WETH + 821 wstETH, รวมประมาณ 1.9 ล้าน เหรียญสหรัฐสิ่งที่เป็นทรัพย์หลักและเงินสดของเอเธอเรียมได้ดำเนินการตามวีธี การกำหนด ค่าทั้งหมดของสาขา 1.01 ถึง 1.03—— ค่าสูงสุดที่โปรโตคอลยอมรับก่อนเป็นต้น

ผู้โจมตีใช้ rsETH ที่มีมูลค่าทั้งหมด 2.92 ล้านเหรียญสหรัฐที่ถูกทำเครื่องทรอคความจงรักภัยและเกือบไม่สามารถหล่นมาได้ ก่อน ย้ายมาเป็น ETH 1.9 ล้านเหรียญสหรัฐ ขณะที่ยอดของ rsETH นี้ถูกทำเครื่องทรอง มาเกือบถึงศูนย์ (เนื่องจาก Key points kelp's crossbridge ที่ไม่คุ้มค่า และไม่สามารถบรรลุได้), ผู้ให้ยืมมารับผิดชอบถึงสูญเสีย

เมื่อตลาดรับรู้ไปว่า Aave มีหนี้ที่เกิน 2 ล้านเหรียญสหรัฐ, ผู้ใช้หวาดระแวงและถอนเงินเร่งด่วน Aave สูญชื่อ โดยมีเงินที่ถูกล็อครวมของ 80 ล้านเหรียญสหรัฐภายใน 48 ชั่วโมงนั้น โดยที่โปรโตคอลที่อยู่อย่างยิ่ง lagest DeFi คอเรนที่ประสพการณ์ครั้งแรกที่แท้จริงหมายถึงการขจัดธนาคาร- ซึ่งเหตุอำนวยคนที่ผลในการถูกโจรกรรม

ระดับที่ 4: การรวมและการแยกเงินทุน

หลังจากเสร็จสิ้นการทำการยืม Aave/Compound, 7 สวนจะโอน ETH ที่ถูกยืมไปยังกระเป๋าเงินระดับนำการ

การดำเนินการทั้งหมดนี้มีโครงสร้างตีเห็น 3 ระดับชัดเจน:

1 เข้ารับ: 0x8B1 (ผ่านการทำเครื่องทรรองและโดย Tornado Cash) ได้รับ rsETH ที่ถูกขโมย 116,500 เหรียญ

2、ดำเนินการ: 7 กระเป๋าเงินรองที่ได้รับทุนจาก Tornado Cash ดำเนินการด้าน Aave/Compound

3、รวม: 0x5d3 รวบรวมเงินกู้ประมาณ 71,000 ETH เข้ากระบวนการซักเงิน

เงินถูกกระจายในโซนสองธุรกิจดังต่อไปนี้:

· 75,700 ETH คงอยู่ในเครือข่ายหลักอีเทอเรียม

· 30,766 ETH อยู่ใน Arbitrum (ประมาณ 71 ล้านเหรียญสหรัฐ)

คณะกรรมการความปลอดภัยของ Arbitrum ลงคะแนนเพื่อจำหน่ายส่วนนี้ของสินทรัพย์ใน Arbitrum และโอน 71 ล้านเหรียญสหรัฐไปยังกระเป๋าเงินควบคุมการจัดการที่สามารถถูกปลดล็อคด้วยการบริหารด้าวซ้ำภายหลัง

ไม่นานหลังจากการจำกัดทรัพย์, ผู้โจมตีผ่านการโอนเงิน ETH ที่เหลือบนเครือข่ายหลักและเสรีวิดกระบวนการซักเงิน พร้อมกับเพิ่มความเร่งในกระบวนการซักเงิน เห็นได้ว่าผู้โจมตีไม่ได้คาดการณ์ว่า Arbitrum จะรับมาตราการเช่นนี้

เวทีที่ห้า: การซักเงินครั้งแรก

สีกิดที่เกิดขึ้นสี่วันหลังจากการโจมตี, 0x5d3 กำลังว่างและ Arkham ตามหาข้อความโ�ยการโอนอย่างต่อเนื่องด้วิถึง 3 ธุนทั้งหมด

การสร้างความเหมาะกับช่วงเวลาเป็นเรื่อง�่าคว้าย: ช่วงการซื้อขายในยุโรปของวันอังคาร ผู้สองตู้สำหรับใแตกจริงอยู่ในสม่ำวาง, หน่วยบุค�ง�งการ�ดำ�า�คว้สา�ตวดที่เจื่มจับ�า�ปวา�ร�กษวที่มา� ตูเใแห�นหุงห�อ�ด ตบับกีษของ�า�ต่างสนใจกาถสวง�าบเงิน�

ต่อมา, โ�รแบบการโอน�างพังถไ มด้วยเด่�ใ�ดต่�านต่า�: 0x62c7 ส่ง�ีห��หเงินแ�่� 60 �ว�จ�งโ�ี�ล��ห, 0xD4B8 ส่�ัมถเงินแ�่เ�ีย�ด� 60 �ว�จ�ง�น�. ภายในช่วงเวลาไม่กี่�ด บัจป�ช่วง�เฉพ��ึง� วาการ�ระ�้ แล�หญาต่�ัญแพ�ัยของห�เงิน�ัต�หํส�ใ� ที้�ัลพ้�ื้�นจา�วาป�

Lazarus �ำเ�า�ทำเกบห�ี HD �อ�เง�.–�ดณไ�ว�ท�ร�ไ�ห�พใ�ด�ดไ�ตเ�ป�ดห�แ�ด�ดค้่ง�าดจ��า� ห�า� perimeter เพอ�เแ� web3, ethers.js �่าท่เ�ก�เรื� �ดํ�ไก็จ�.คผ้าแ� จ�ย่างล�ด�งบ�ัว�.โ�โค้้�ก�.�่า� ���้จ� ดบ�เ�ะห�ท�ทด�งค�ะ�ย�..

เมื่อแ�นจริง�ดสื�ัี่ถลา�กาสะ�ห���ต�ล���ึ�ญ��ี�าห�็�้ี�ย� 10 �ว�จ�ง�้ย�า�้วๆ ���ย� ���ัล���คีย�เ�ง� ���ดห�งา�ั� ���ดห�การ��ง����..�.���� 10 �ว�จ�ง�้ย�า�้เ�สข�ห�ง�ง� ���มุํ���้็้้ล�ทุ� ����้ �ดำ�ี้�ห���็� �้�ห���็� �ํ���้ี� �ํี�ท �ท� �ต� �ค� �้�/p>

ขั้นตอนที่หก: THORChain—เครื่องขายหนี

จุดที่แท้จริงเกิดขึ้นที่ THORChain

THORChain เป็นโปรโตคอลที่ไม่มีศูนย์กลางที่รองรับการแลกเปลี่ยนสินทรัพย์ต้นฉบับข้ามลิงค์ คุณส่ง ETH ในเครือข่าย Ethereum แล้วได้รับ BTC กลับในเครือข่าย Bitcoin

เฉพาะวันที่ 22 เมษายน เท่านั้น THORChain ให้บริการสร้างปริมาณการแลกเปลี่ยนทั้งหมด 4.6 พันล้านเหรียญสหรัฐ ประมาณอัตราการทำธุรกรรมเฉลี่ยต่อวันของโปรโตคอลนี้เป็น 15 ล้านเหรียญสหรัฐ การโจมตีครั้งนี้ทำให้ปริมาณการใช้งานปกติของโปรโตคอลรายวันเพิ่มขึ้นถึง 30 เท่า

ในช่วง 24 ชั่วโมงเดียวกัน โปรโตคอลรวมรายได้ 49.4 พันล้านเหรียญสหรัฐ แบ่งให้กับผู้เช่ารวมผู้ให้บริการเหล็กกระจายกองทุนการพัฒนาลูกน้ำสัญจรและกองทุนการตลาด

ในเวลาเดียวกันก็มีเงินทุนที่ไหลผ่านช่องทางลับในชุดเล็ก ๆ ที่เสริมเป็นอย่างกันนี้

· Umbra: โปรโตคอลที่เป็นที่หมุนบน Ethereum อนุญาตให้ส่งเงินไปยังที่อยู่เดียวกันได้ โดยมีเพียงผู้รับเงินที่สามารถคำนวณที่อยู่นั้นผ่านคีย์ที่มีการแบ่งปัน เจ้าของช่องทางการตรวจสอบไม่สามารถรู้จักจุดหมายแท้จริง การเริ่มต้นวิกข่าวการเคลื่อนไหวจำนวน 7.8 พันล้านเหรียญสหรัฐถูกติดตามที่นี่ แต่เครื่องมือหลุดช่องดังกล่าว

· Chainflip: DEX ข้ามลิงค์อื่นหนึ่งรูปแบบการทำงานเช่นกันกับ THORChain

· BitTorrent Chain: โซ่ที่เชื่อมโยงกับ Tron เป็นโซ่ย่อยที่มีต้นทุนต่ำและได้รับควบคุมการกำกับ

· Tornado Cash: Mixer ที่ใช้กับการกากโรครุนแรงที่เหมือนกันกับขณะที่พ่วงเงินไปกับ Gas ตัวอื่นได้รับการเพิ่มเข้าสู่บัญชีหลวงสหรัฐประมวลตัวช่วงปี 2022

หลังจากผ่านผู้ให้บริการแต่ละชั้นค่าติดตามจะเพิ่มโดยประมาณ 10 เท่า หลังจากที่ผ่านด่านที่ 5 บริษัทเอกสารสามารถติดตามแค่ชิ้นส่วนสองกำลังกลับด้วยต้นทุนทางเศรษฐกิจมากกว่ามูลค่าที่สามารถกู้คืนได้

ขั้นตอนที่เจ็ด: การฉีก UTXO ของ Bitcoin

การทำ ETH เป็น BTC ผ่านทาง THORChain พื้นฐานก็คือการทำเงินให้เป็นกระดาษหัาย

เอธีเรียมใช้โมเดลบัญชี ยอดคงเหลือของคุณคือตัวเลขที่แนบอยู่กับที่อยู่อย่างไม่ซับซ้อน แต่ละหาร บิตคอยต่างไป โมเดล UTXO (Unspent Transaction Output) รูปแบบของ Bitcoin ทีละธุรกรรมเป็นเพื่อกล้อมีประวัติการทำธุรกรรมทั้งหมด ทุกครั้งที่ใช้จ่ายบิตคอยธุรกรรมทั้งหมดพวกเขาจะถูกแยกแยะและเรียกมารวมกลุ่มใหม่ขึ้น

จินโจ้เข็งแสกหนึ่งใบ 100 ดอลลาร์เป็นชิ้นละ 87 ชิ้น แล้วแต่ละชิ้นให้แสกต่อเป็นชิ้นละ 87 ชิ้นอีก จนกว่าจะทำซ้ำเป็น 7 รอบ เทคนิคนี้ทำให้ทุกชิ้นสามารถติดตามได้ถึงแสตมป์สำคัญโดยทฤษฎีแต่จริงๆ แล้วไม่มีทีมสืบสวนหลักฐานที่สามารถติดตามก้อนข้อความที่ซับซ้อนนี้ได้ในเวลาที่เพียงพอเร็ว

ด้วยเหตุนี้ THORChain ทำสิ่งสำคัญ 2 อย่างพร้อมกัน: การนำเงินข้ามขีดจำกัดทุกชนิด และการแตกออกให้ออกเป็นละอานที่ไม่สามารถติดตามได้

ระยะที่ 8: เส้นทาง Tron USDT

หลังจากบิตคอยน์และชั้นความปลอดภัยเงินทุนถูกรวมกลับเข้าไปที่จุดหมายเดียวกัน: USDT บน Tron

ส่วนมากของคนคิดว่าสนามรบหลักของฟอกเงินคือ BTC ซึ่งผิด สนามรบที่แท้จริงคือ USDT บน Tron ข้อมูลบอกว่าปริมาณการซื้อขายสินทรัพย์เข้าเงินทุนที่ผิดกฎหมายบน USDT-Tron ในปีละมากที่สุด เกินที่ยอดรวมของโซ่ทุกโซ่

ในการไหลงบ Kelp นี้ เส้นทางทางเงินโดยละเอียดคือ: จาก BTC ข้ามสะพานเข้า Tron แล้วแลก USDT แล้วทำการโอนเงินภายในที่อยู่ Tron หลายรอบ USDT ในแต่ละ 1 การกระโดดบน Tron มีค่าต่อการกระโดดที่ต่ำมากเพียงไม่กี่เซนต์ แต่สามารถทำให้มีการโต้แยงอีก 10 ระดับของการแตกส่วน

ระยะที่ 9: การถอนเงิน—การขายสินทรัพย์เข้าเงินตรา

ทุกครั้งที่การโจมตีของแฮ็กเกอร์สิ้นสุดลงเงินทุนจะผ่านออกเป็นเงินตราของประเทศ

กลุ่มหมู่การค้ารองเต็มความรับผิดชอบที่มีกิจกรรมในจีนและเอเชียตะวันออกนำเงินทุนจากการฝาก USDT-Tron และใช้เงินตราท้องถิ่นในการชำระ กลุ่มหมู่เหล่านี้เป็นแบงค์ใต้กระบองบาด ทั้งรวมกันสารสนเอียงและไม่สารสนระบบการโอนเงินในประเทสิ้นที่ของจีน (UnionPay) ให้เงินตรา—UnionPay ทำงานนอกจากระบบ SWIFT และขอบเขตการปฏิบัติของกฎหมายห้ามทางตะวันตก

การกำหนด่ตั้ววี่จากบัญชีที่ควบคุมโดยกลุ่มหมู่การค้านี้ นำเงินทุนไปสู่บัญชีธนาคารที่ประเทศไน้ ที่รวมกันดำเนินการในบริพังวนอย่ีง แทนเงินสด การโอนเงินข้ามชาตรี การสุราซึงและการซื้อบริษัทโรงเองานอย่้ง ปฏิศิกษฐ์การไหลเงินนี้อาชีวะ่าสงแห่งสหัน่งแลฮล่างสยดันแล็งเยื่พื่าุฉ์

สภาปฏิเาสแห่งสหัน่งสตสินฟอร์แลลานอา้ชีมแมนดารจปะจบาัวต้างและกระทไสต็อวาการข้าังกยะเคยนีท์ิส่บตรคำนนชีหนใยหขีสัง่าข้อมลีกันยูรส์ีื่อ้อมนจ้อยี้กขนิพุ้่นหินี่้า่ันคิืองีใมตันขอ์ดัสสบควีีดี่ืทะี่คยวงในดาัิ่็ีีห์ำสนังตีดสงุีồintvalิauístc่

ในรายงานของสหประชาชาติปี 2024 ประมาณว่า การโจมตีด้วยโค้ดที่ใช้เทคโนโลยีเข้ารหัสข้อมูล (Cryptocurrency) เป็นประมาณ 50% ของรายได้จากการส่งออกของเกาหลีเหนือ เป็นที่มาหลักของแผนการทหารของเกาหลีเหนือ - มากกว่ายอดขายถ่านหิน การขายอาวุธ และผลิตสินค้าแรงงานรวมกัน

[หัวข้อเรื่องต้นฉบับ]

ยินดีต้อนรับสู่ชุมชนทางการของ BlockBeats:

กลุ่ม Telegram สมัครสมาชิก: https://t.me/theblockbeats

กลุ่ม Telegram พูดคุย: https://t.me/BlockBeats_App

บัญชี Twitter ทางการ: https://twitter.com/BlockBeatsAsia