Kaya Ninakaw Mo ang $600M. Ngayon Ano?

Ang komunidad ng Crypto ay nayanig noong Martes ng kung ano ang isa sa mga pinakamalaking hack Web 3 kasaysayan: isang $625 milyon na pagsasamantala na nag-ubos ng mga pondo mula kay Ronin, ang blockchain na tahanan ng sikat na sikat Axie Infinity play-to-earn laro.

Sa kabila ng kapansin-pansing kabuuan, gayunpaman, sinabi ng mga eksperto sa CoinDesk sa isang serye ng mga panayam na malamang na hindi masisiyahan ang umaatake sa kanilang mga natamo nang masama.

Noong Martes, inanunsyo ng developer ng Axie na si Sky Mavis sa isang blog post na ang pagsasamantala ay nagresulta sa pagkalugi ng mahigit 173,000 ETH at 25.5 milyong USDC, na nagkakahalaga ng higit sa $625 milyon sa oras ng paglalathala.

Read More: Ang Ronin Network ng Axie Infinity ay Nagdusa ng $625M Exploit

Kaagad pagkatapos ng pag-atake, gayunpaman, napansin ng mga tagamasid na ang hacker ay gumamit ng mga sentralisadong palitan upang pondohan ang address na naglunsad ng pag-atake, at na sila ay nagdeposito ng libu-libong ETH sa mga palitan kabilang ang Huobi, FTX at Crypto.com – isang hakbang na nailalarawan ng maraming eksperto sa seguridad bilang isang malamang na maling hakbang.

Dahil ang mga platform na ito ay may know-your-customer (KYC) verification system, ang mga depositong ito ay maaaring gamitin upang matuklasan ang pagkakakilanlan ng hacker at sa huli ay pilitin silang ibalik ang mga pondo.

"Kung ako ang nasa posisyon nila, gusto kong makaalis sa sitwasyong ito sa lalong madaling panahon," sinabi ng blockchain analytics firm na Elliptic co-founder na si Tom Robinson sa CoinDesk. "Maaaring kasama doon ang pagbabalik ng mga pondo."

Kilalanin ang iyong mapagsamantala

Ang kasalukuyang paraan ng umaatake sa pagsubok na maglaba ng mga pondo sa pamamagitan ng mga sentralisadong palitan ay naging kakaiba sa hanay ng mga eksperto sa buong industriya.

"Ito ay hindi karaniwan na makita ang mga direktang daloy ng mga pondo mula sa mga pagnanakaw hanggang sa malalaking palitan," sabi ni Robinson. "Maaaring bumili sila ng mga account, o maaaring gumagamit sila ng tagapamagitan upang maglaba para sa kanila."

Sa isang eksklusibong mula Oktubre, natagpuan ng CoinDesk na mayroong isang umuunlad na black market para sa mga KYC'd account sa mga sentralisadong palitan. Gayunpaman, nabanggit ni Robinson na ang mga palitan ay ginagamit, kabilang ang FTX at Crypto.com, ay may malakas na reputasyon para sa pagsunod sa regulasyon at KYC.

Sa kabuuan, inilarawan niya ang kasalukuyang mga pagsisikap ng umaatake na labahan ang kanilang mga pondo bilang "nakakagulat na walang muwang."

"Iyon ay T lubos na tumutugma sa pagiging sopistikado na tila kinakailangan upang ikompromiso ang mga validator na ito at makuha ang kanilang mga pribadong susi," idinagdag niya.

Ang isang mas karaniwang diskarte mula sa mga mapagsamantala ay ang paggamit ng isang mixer tulad ng Tornado Cash, magpadala ng mga ninakaw na pondo sa pamamagitan ng hindi KYC'd exchange at sa pangkalahatan ay "hindi nagmamadaling i-cash out ang lahat kaagad, marahil ay naghihintay ng mga taon kahit na," sabi ni Robinson.

Sa katunayan, ang mas malawak na komunidad ng Crypto ay nagpahayag ng pagkalito sa diskarte sa laundering ng umaatake.

Tulad ng kadalasang nangyayari pagkatapos ng isang pag-atake, ginagamit ng mga gumagamit ng Ethereum ang network upang makipag-ugnayan sa umaatake, at sa ONE kaso ay sinubukan ng isang indibidwal na bigyan ang umaatake. mga tip para sa kung paano mas mahusay na hugasan ang kanilang ETH.

"Kumusta, ang [iyong] paunang deposito ay mula sa Binance, mag-ingat at siguraduhing gumamit ng tornado.cash dapat mong iwanan ang mga pondo sa loob ng maraming araw o maaari itong ma-trace," sumulat sila sa address ng attacker bilang bahagi ng isang transaksyon sa Ethereum . "Pagkatapos ay dapat mong gamitin ang stealthex.io upang makipagpalitan sa iba pang mga pera sa loob ng mahabang panahon. Salamat, huwag mag-atubiling magbigay ng tip / iretiro ako."

Gayunpaman, kahit na may mahigpit na mga tool sa pagpapanatili ng privacy at isang maingat na plano, sinabi ni Robinson sa CoinDesk na napakahirap maglaba ng halagang kasing laki ng $600 milyon. Sa katunayan, sa kabila ng mga pinaghihinalaang naglalaba na nagsagawa ng ilang pag-iingat sa loob ng ilang taon, Ang mga opisyal ng US ay nakakuha ng $3.6 bilyon sa Bitcoin nauugnay sa 2016 Bitfinex hack noong nakaraang buwan lang.

Kinakamot ang bag

Kung may impormasyon si Axie sa umaatake, ang pagtukoy sa mga hacker ay napatunayang isang matagumpay na taktika para sa mga developer sa nakaraan.

Nang maabot ng CoinDesk, ang blockchain sleuthing firm na Chainalysis ay tumanggi na magkomento, na binanggit ang pagkakasangkot sa patuloy na pagsisiyasat.

Pinag-uusapan mo ang tungkol sa mga numerong kasing laki ng GDP na nakuha sa pamamagitan ng mga hack.

Noong nakaraang Setyembre, sa ONE sa mga pinakamakulay na insidente ng pag-hack sa kasaysayan ng blockchain, ang mga developer ng Jay Pegs Auto Mart na hindi fungible na token (NFT) matagumpay na tinakot ang isang hacker na magbalik ng mga pondo sa pamamagitan ng – bukod sa iba pang taktika – pag-order ng miso soup sa kanilang bahay.

Read More: $3M ay Ninakaw, ngunit ang Tunay na Nakawin Ay Ang mga Kia Sedona na Ito, Sabihin ang Mga Hindi Nakikilalang Developer

Ang dating SUSHI Chief Technology Officer na si Joseph Delong, na kasangkot sa mga negosasyon ng Jay Pegs, ay nagsabi na ang pagkilala sa isang hacker ay maaaring makatulong na "iwasan ang isang hindi kilalang paglayas" at magpapataas ng presyon ng publiko.

"Magagalit ang mga tao sa iyong pag-doxx sa umaatake ngunit ang mga cryptoanarchist na iyon ay maaaring mag-f**k sa kanilang sarili sa kanilang superiority complex," sabi ni Delong sa isang panayam noong Martes.

"Ang paglalaba ng $600 milyon, sa tingin ko ay T ito posible," sabi ni Adrian Hetman, isang DeFi expert sa Immunefi, isang bug bounty service. "Ang pinakamagandang senaryo ay sa halip na i-black-hatting ang iyong paraan sa protocol, dapat mong gamitin ang kaalamang iyon upang magsumite ng mga bug sa isang bug bounty platform - madali kang maging milyonaryo."

Nabanggit din ng Sushi's Delong na ang pagbibigay ng mga opsyon sa hacker ay maaaring maging isang kapaki-pakinabang na tool, tulad ng isang "malinaw na bounty program at mga kasosyo tulad ng Immunefi upang tumulong."

Sa katunayan, ang Immunefi ay kabilang sa maraming mga serbisyo na lumitaw habang ang DeFi at Web 3 ay naghahanap upang ma-secure ang ecosystem mula sa tumataas na pagtaas ng mga hack. Ang Immunefi lamang ang nagbayad ng $20 milyon sa mga bug bountie, at kasalukuyang mayroong $120 milyon na magagamit para sa mga puting sumbrero, coding lingo para sa mabait na kabaligtaran ng mga hacker ng black-hat na tumakas gamit ang mga ninakaw na pondo sa halip na mag-ulat ng mga kahinaan.

Ipinapakita ng kasaysayan na ang pagtatangkang magnakaw at maglaba ng $625 milyon ay maaaring ang pinakamababang-upside na opsyon para sa umaatake. Noong nakaraang Agosto ang hacker na nagawang mag-swipe ng $611 milyon mula sa POLY Network sa huli ay ibinalik ang mga pondo pagkatapos magpasya na imposibleng mag-cash out.

"Sa tingin ko maaaring mahuli siya, o pinilit niyang ibalik ang mga pondo. O pareho," sabi ni Hetman ng Ronin hacker.

Mga motibasyon sa ideolohiya

Sa isang pinakamasamang sitwasyon para sa Axie Infinity, gayunpaman, ang mapagsamantala ay maaaring walang pakialam sa pera.

"Sa tingin ko na - sa panimula - ang ideolohiya ng mapagsamantala ay ang pangunahing bagay na dapat isaalang-alang kapag pinag-uusapan mo ang tungkol sa laki ng GDP na mga numero na nakuha sa pamamagitan ng mga hack," sabi ni Laurence E. Day, isang blockchain developer at scholar. "Kung ginawa lang nila ito upang magpadala ng mensahe tungkol sa kahinaan o 'dahil-sila-maaari, ang mga kahihinatnan ay mapahamak,' ang tanong na 'karapat-dapat ba ito' ay depende sa kung isinasaalang-alang nila ang sapat na pagpapatunay sa sarili tungkol sa kanilang kakayahan."

Si Day ay pamilyar sa mga hacker na gustong magpadala ng mensahe. Noong nakaraang Oktubre, isang araw ng protocol na naiambag sa, Indexed Finance, ay pinagsamantalahan ng isang Canadian teenage math prodigy, Andean "Andy" Medjedovic.

Read More: Pagkatapos ng 'Pagnanakaw' ng $16M, Ang Teen Hacker na Ito ay Tila Layunin na Subukan ang 'Code Ay Batas' sa Mga Korte

Sa kabila ng pag-dox ng koponan sa Medjedovic at pagdadala ng kaso sa korte, ang Canadian graduate student ay hanggang ngayon ay tumanggi na ibalik ang mga pondo. Sa isang serye ng mga tweet mula sa isang account na nagsasabing siya ay kay Medjedovic, binalangkas niya ang paghaharap bilang isang "duel" at isang "labanan hanggang kamatayan."

Habang si Medjedovic ay kasalukuyang takas sa batas, ang insidente ay nakakuha sa kanya ng makabuluhang katanyagan, na maaaring ang kanyang pangunahing motibasyon.

Gayunpaman, sinabi ni Day na kung ang Ronin hacker ay interesado sa katanyagan sa halip na pera, kahit na ang end-goal na iyon ay kasalukuyang lumilitaw na isang talo na laro: Maaaring hindi nila maangkin ang responsibilidad nang hindi nahuhuli.

"Paulit-ulit nating nakita na ang kaakuhan ay ang pagbagsak ng mga tao na kumukuha ng mga pagsasamantala, at naisip ko na napakahirap na hinding-hindi ito maaangkin sa parehong paraan na ang pakikipagnegosasyon sa isang bounty ng puting sumbrero at pagiging isang diyos sa mata ng komunidad ay magbibigay-daan sa iyo," sabi ni Day.

More from CoinDesk sa Axie Infinity at Ronin Network

Sinususpinde ng Binance ang Mga Deposit at Pag-withdraw sa Ronin Network Pagkatapos ng Pag-hack

Ibinunyag ni Ronin na nakatuon sa paglalaro noong Martes ang pagkawala ng higit sa $625 milyon sa USDC at ether.

Binabawasan ng Axie Infinity ang SLP Emissions upang Pigilan ang 'Pagbagsak'

Ang mga alalahanin sa mga paglabas ng isang in-game token ay nagdulot ng pagbagsak ng mga numero ng user at isang matinding pagbagsak sa mga presyo ng SLP .

Ang Tagapagtatag ng Axie Infinity na si Sky Mavis ay Inilunsad ang Token ng Pamamahala ng RON

Ang token ay nakikipagkalakalan sa paligid ng $3.75 pagkatapos ilunsad.