Der CryptoBilis-Ledger-Drainer hat weiterhin gestohlene Kryptowährung verschoben und in den vergangenen 48 Stunden 13,84 Mio. USD transferiert, nachdem Arkham Intelligence Diebstähle in Höhe von 95,35 Mio. USD im Zusammenhang mit 1.486 Adressen zurückverfolgt hat.
Zusammenfassung
- Arkham verfolgte 95,35 Mio. USD, die zwischen dem 7. und 9. Oktober von 1.486 Adressen gestohlen wurden.
- Der Angreifer soll am 9. Oktober innerhalb von nur 51 Minuten 80,60 Mio. USD gestohlen haben.
- Mindestens 69,19 Mio. USD flossen über Swaps und Bridges durch mehrere Blockchain-Netzwerke.
- Der Angreifer zahlte 9.529 ETH im Wert von 23,27 Mio. USD über 559 Transaktionen in Tornado Cash ein.
- Arkham identifizierte 30,44 Mio. USD verbleibender Bestände, darunter 10 Mio. USD in eingefrorenen USDT.
Laut Arkham Intelligence ereigneten sich die Diebstähle zwischen dem 7. und 9. Oktober, wobei der Großteil der Kryptowährung während eines 51-minütigen Zeitraums am 9. Oktober entwendet wurde. Das Blockchain-Analyseunternehmen berichtete, dass sich 30,44 Mio. USD noch in mit dem Angreifer verbundenen Adressen befinden, darunter 10 Mio. USD in USDT, die von Tether eingefroren wurden.
Seine neueste Untersuchung verfolgte die gestohlene Kryptowährung durch mehrere Blockchain-Netzwerke und identifizierte Transfers mit USDT, Bitcoin, Ethereum und USDD. Die Ergebnisse kommen fast drei Wochen, nachdem Ledger begonnen hatte, Berichte über fehlende Gelder von Kunden zu untersuchen, die Hardware-Wallets über den südostasiatischen Wiederverkäufer CryptoBilis gekauft hatten.
CryptoBilis-Ledger-Drainer stahl 80,6 Mio. USD in 51 Minuten
Arkhams Analyse ergab, dass der Großteil des Diebstahls am 9. Oktober ab 05:07:48 UTC stattfand. Innerhalb von 51 Minuten sammelte der Angreifer 80,60 Mio. USD ein, darunter 58,19 Mio. USD in USDT durch 335 Transfers auf der Tron-Blockchain.
Im selben Zeitraum transferierten 112 Bitcoin-Adressen 203,26 BTC im Wert von 16,73 Mio. USD in einem einzigen Block um 05:54 UTC. Weitere 14,14 Mio. USD in USDT erreichten die Tron-Wallets des Angreifers bis 15:00 UTC.
Die Untersuchung identifizierte kleinere Transfers vor dem Hauptdiebstahl. Zwischen dem 7. und 8. Oktober erhielt der Angreifer 7,41 BTC im Wert von etwa 610.000 USD von 137 Adressen.
Frühere Schätzungen der Verluste variierten. Das Blockchain-Analyseunternehmen Bitquery schätzte in seiner Untersuchung vom 16. Oktober 102 Mio. USD, die aus 335 Wallets in sechs Netzwerken gestohlen wurden. Ledger hat die Gesamtsumme der gestohlenen Beträge oder die Anzahl der betroffenen Kunden nicht unabhängig bestätigt.
Gestohlene Gelder über Ethereum-Bridges und Börsen bewegt
Nach dem Diebstahl begann der Angreifer, die gestohlenen Vermögenswerte umzuwandeln und zwischen Blockchain-Netzwerken zu verschieben. Arkham verfolgte mindestens 69,19 Mio. USD über Swaps und Bridging-Transaktionen, darunter 20,37 Mio. USD in USDT, die auf Tron in USDD umgewandelt wurden.
Weitere 20 Mio. USD in USDT wurden über USDT0 von Tron nach Ethereum verschoben. Andere Transfers wandelten USDT und USDC von Tron, BNB Chain und Polygon in ETH um, darunter 8,95 Mio. USD über Relay, 5,91 Mio. USD über Chainflip und 13,96 Mio. USD über kleinere Routen.
Am 9. Oktober erhielten mit dem Angreifer verbundene Ethereum-Wallets 5.895 ETH im Wert von 14,72 Millionen USD von Bridges wie Relay, THORChain, NEAR Intents, Bridgers und Mayan. Der Angreifer tauschte anschließend 11,30 Millionen USD in gebridgten USDT über Rizzolver in etwa 4.530 ETH um.
Separate Transfers überwiesen 5.185 ETH im Wert von 12,97 Millionen USD direkt an neu erstellte Adressen. Von diesem Betrag stammten 3.600 ETH aus 9 Millionen USD, die über USDT0 transferiert wurden, während weitere 1.585 ETH über Chainflip an drei neue Adressen flossen.
Zwischen dem 9. und 11. Oktober sandte der Angreifer 14,65 Millionen USD in USDD an 20 Tron-Adressen. Neunzehn davon tauschten die Token anschließend über SUN.io in USDT um und zahlten 14,13 Millionen USD in THORChain ein.
Tornado Cash erhielt 23,27 Millionen USD in gestohlenen ETH
Arkham identifizierte 9.529 ETH im Wert von 23,27 Millionen USD, die über 559 Transaktionen in Tornado Cash eingezahlt wurden.
Die Einzahlungen umfassten 63 Transfers von 100 ETH, 307 Transfers von 10 ETH, 156 Transfers von 1 ETH und 33 Transaktionen von 0,1 ETH. Vor den Einzahlungen waren 8.102,6 ETH von mit dem Angreifer verbundenen Wallets auf 26 neue Ethereum-Adressen bewegt worden.
Bitcoin-Transfers wurden separat fortgesetzt. Arkham verfolgte 102,15 BTC im Wert von 8,33 Millionen USD, die die Wallets des Angreifers über vier Transaktionen verließen. Am 27. Oktober schloss sich ein Teil von 17,97 BTC mit 52,51 BTC in einem nicht ausgegebenen Output zusammen, der 70,47 BTC im Wert von 5,67 Millionen USD enthielt.
Die neuesten Zahlen des Unternehmens zeigen 4.932 ETH im Wert von 11,49 Millionen USD und 111,28 BTC im Wert von 8,96 Millionen USD in markierten Adressen. Weitere 10.000.010 USDT bleiben auf Tron nach Tetherers Eingreifen am 9. Oktober eingefroren.
Ledger bestätigte Hardware-Implantat in der Untersuchung der CryptoBilis-Wallet
Die Ergebnisse folgen auf Ledgers Untersuchung kompromittierter Hardware-Wallets, die über CryptoBilis verkauft wurden. Wie crypto.news zuvor berichtete, bestätigte Ledger am 13. Oktober, dass sein Sicherheitsteam ein unbefugtes Hardware-Implantat entdeckt hatte, das in der Lage war, während der Geräteeinrichtung angezeigte Wiederherstellungsphrasen zu erfassen.
Ledger erklärte, jeder bestätigte Diebstahl, den es untersucht habe, habe ein über CryptoBilis erworbenes Gerät betroffen, obwohl nicht geklärt worden sei, wie die Komponenten in die betroffene Hardware gelangten. Der Hersteller verschärfte anschließend die Sicherheitsanforderungen für Wiederverkäufer und setzte den autorisierten Verkauf von Hardware-Wallets in mehreren südostasiatischen Märkten aus.
In einer damit zusammenhängenden Entwicklung meldete die Polizei von Singapur am 28. Oktober zwei Fälle kompromittierter Wallets mit Kryptowährungsverlusten von etwa 3,5 Millionen SGD. Vorläufige Ermittlungen ergaben, dass bösartige Komponenten in den betroffenen Geräten die Wiederherstellungsphrasen oder privaten Schlüssel der Nutzer erfassen konnten.
Ledger erklärte, seine Untersuchung habe keine Hinweise darauf ergeben, dass seine internen Systeme oder direkten Vertriebskanäle kompromittiert worden seien.
