Então você roubou $ 600 milhões. E agora?

A comunidade Cripto foi abalada na terça-feira pelo que está solidamente entre os maiores hacks em Rede 3 histórico: uma exploração de US$ 625 milhões que drenou fundos da Ronin, a blockchain que abriga o popularíssimo Axie Infinity jogue para ganhar jogo.

Apesar da quantia exorbitante, especialistas disseram ao CoinDesk em uma série de entrevistas que é improvável que o invasor consiga aproveitar seus ganhos ilícitos.

Na terça-feira, o desenvolvedor do Axie, Sky Mavis, anunciou em uma postagem de blog que a exploração resultou em perdas de mais de 173.000 ETH e 25,5 milhões de USDC, valendo mais de US$ 625 milhões no momento da publicação.

Leia Mais: A rede Ronin do Axie Infinity sofre exploração de US$ 625 milhões

No entanto, imediatamente após o ataque, observadores notaram que o hacker usou exchanges centralizadas para financiar o endereço que lançou o ataque e que eles estavam depositando milhares de ETH em exchanges, incluindo Huobi, FTX e Cripto— um movimento que muitos especialistas em segurança caracterizaram como um provável erro.

Como essas plataformas têm sistemas de verificação de conhecimento do seu cliente (KYC), esses depósitos podem ser usados para descobrir a identidade do hacker e, finalmente, forçá-lo a devolver os fundos.

“Se eu estivesse no lugar deles, eu tentaria sair dessa situação o mais rápido possível”, disse o cofundador da empresa de análise de blockchain Elliptic, Tom Robinson, ao CoinDesk. “Isso pode incluir a devolução dos fundos.”

Conheça seu explorador

O método atual do invasor de tentar lavar fundos por meio de trocas centralizadas pareceu estranho a vários especialistas do setor.

“É incomum ver fluxos tão diretos de fundos de roubos para grandes exchanges”, disse Robinson. “Eles podem ter comprado contas ou podem estar usando um intermediário para lavar dinheiro em seu nome.”

Em uma publicação exclusiva de outubro, a CoinDesk descobriu que há uma mercado negro florescente para contas KYCem bolsas centralizadas. No entanto, Robinson observou que as bolsas que estão sendo usadas, incluindo FTX eCripto, têm forte reputação em conformidade regulatória e KYC.

No geral, ele caracterizou os esforços atuais do invasor para lavar seus fundos como “surpreendentemente ingênuos”.

“Isso T condiz com a sofisticação que aparentemente seria necessária para comprometer esses validadores e obter suas chaves privadas”, acrescentou.

Uma estratégia mais comum dos exploradores é usar um mixer como o Tornado Cash, enviar fundos roubados por meio de exchanges não KYC e, geralmente, "não ter pressa para sacar tudo imediatamente, talvez até esperar anos", disse Robinson.

De fato, a comunidade Cripto mais ampla expressou perplexidade com a estratégia de lavagem de dinheiro do invasor.

Como costuma acontecer após um ataque, os usuários do Ethereum têm usado a rede para se comunicar com o invasor e, em um caso, um indivíduo tentou dar ao invasor dicas de como lavar melhor seus ETH.

“Olá, [seu] depósito inicial foi da Binance, tenha cuidado e certifique-se de usar tornado.cash, você deve deixar os fundos por vários dias ou eles podem ser rastreados”, eles escreveram para o endereço do invasor como parte de uma transação Ethereum . “Depois, você deve usar stealthex.io para trocar para outras moedas por um longo período de tempo. Obrigado, sinta-se à vontade para me dar uma gorjeta/me aposentar.”

No entanto, mesmo com ferramentas rigorosas de preservação de privacidade e um plano cuidadoso, Robinson disse ao CoinDesk que é extraordinariamente difícil lavar uma quantia tão grande quanto $ 600 milhões. De fato, apesar dos supostos lavadores tomarem uma série de precauções ao longo de um período de anos, Autoridades dos EUA apreenderam US$ 3,6 bilhões em Bitcoinrelacionado ao hack da Bitfinex em 2016, ocorrido no mês passado.

Tateando a bolsa

Se o Axie tiver informações sobre o invasor, identificar hackers provou ser uma tática bem-sucedida para desenvolvedores no passado.

Quando contatada pela CoinDesk, a empresa de investigação de blockchain Chainalysis se recusou a comentar, alegando envolvimento na investigação em andamento.

Você está falando de números do tamanho do PIB adquiridos por meio de hacks.

Em setembro passado, em um dos incidentes de hacking mais pitorescos da história do blockchain, os desenvolvedores do token não fungível Jay Pegs Auto Mart (NFT) intimidou com sucesso um hacker para devolver fundos ao – entre outras táticas – pedir sopa de missô para sua casa.

Leia Mais: US$ 3 milhões foram roubados, mas o verdadeiro roubo são esses Kia Sedonas, dizem desenvolvedores anônimos

O ex-diretor de Tecnologia da SUSHI, Joseph Delong, que estava envolvido nas negociações com Jay Pegs, disse que identificar um hacker pode ajudar a "prevenir uma fuga anônima" e aumentará a pressão pública.

“As pessoas ficarão bravas com você divulgando o agressor, mas esses criptoanarquistas podem se f**er com seu complexo de superioridade”, disse Delong em uma entrevista na terça-feira.

“Lavar US$ 600 milhões, T acho que seja possível”, disse Adrian Hetman, especialista em DeFi na Immunefi, um serviço de bug bounty. “O melhor cenário é, em vez de usar black-hat para entrar no protocolo, você deve usar esse conhecimento para enviar bugs em uma plataforma de bug bounty – você pode facilmente se tornar um milionário.”

Delong, do Sushi, também observou que dar opções ao hacker pode ser uma ferramenta útil, como um “programa de recompensas transparente e parceiros como a Immunefi para ajudar”.

De fato, a Immunefi está entre a série de serviços que surgiram enquanto DeFi e Web 3 buscam proteger o ecossistema das crescentes ondas de hacks. A Immunefi sozinha pagou US$ 20 milhões em recompensas por bugs e atualmente tem US$ 120 milhões disponíveis para white hats, linguagem de codificação para o oposto benevolente de hackers black-hat que fogem com fundos roubados em vez de relatar vulnerabilidades.

A história mostra que tentar roubar e lavar US$ 625 milhões pode ter sido a opção de menor valor para o invasor. Em agosto passado, o hacker que conseguiu roubar US$ 611 milhões da POLY Network finalmente devolveu os fundosdepois de decidir que seria impossível sacar.

“Acho que ou ele é pego, ou é forçado a devolver os fundos. Ou ambos”, disse Hetman sobre o hacker Ronin.

Motivações ideológicas

No pior cenário para o Axie Infinity, no entanto, o explorador pode nem se importar com o dinheiro.

“Eu acho que – fundamentalmente – a ideologia do explorador é a coisa-chave a se considerar quando você está falando sobre números do tamanho do PIB adquiridos por meio de hacks”, disse Laurence E. Day, um desenvolvedor e acadêmico de blockchain. “Se eles simplesmente fizeram isso para enviar uma mensagem sobre vulnerabilidade ou ‘porque-eles-poderiam, que se danem as consequências’, a questão ‘valeu a pena’ depende se eles consideram isso autovalidação suficiente quanto à sua habilidade.”

Day está intimamente familiarizado com hackers que buscam enviar uma mensagem. Em outubro passado, um protocolo para o qual Day contribuiu, Indexed Finanças, foi explorado por um prodígio de matemática adolescente canadense, Andean “Andy” Medjedovic.

Leia Mais: Depois de ‘roubar’ US$ 16 milhões, este hacker adolescente parece decidido a testar ‘código é lei’ nos tribunais

Apesar da equipe ter doxado Medjedovic e levado o caso ao tribunal, o estudante de pós-graduação canadense se recusou até agora a devolver os fundos. Em uma série detuítesa partir de um relato que alega pertencer a Medjedovic, ele enquadrou o confronto como um “duelo” e uma “luta até a morte”.

Enquanto Medjedovic éatualmente um foragido da lei, o incidente lhe rendeu notoriedade significativa, o que pode ter sido sua principal motivação.

No entanto, Day observou que se o hacker Ronin estiver interessado em fama e não em dinheiro, até mesmo esse objetivo final parece ser um jogo perdido: eles podem nunca conseguir assumir a responsabilidade sem serem pegos.

“Vimos repetidamente que o ego é a ruína das pessoas que realizam façanhas, e imagino que seria muito difícil nunca ser capaz de assumir isso da mesma forma que negociar uma recompensa de chapéu branco e se tornar um deus aos olhos da comunidade permitiria que você o fizesse”, disse Day.

Mais de CoinDesk sobre Axie Infinity e Ronin Network

Binance suspende depósitos e retiradas na rede Ronin após hack

A Ronin, focada em jogos, divulgou na terça-feira uma perda de mais de US$ 625 milhões em USDC e ether.

Axie Infinity reduz emissões de SLP para evitar 'colapso'

Preocupações em torno das emissões de um token no jogo causaram queda no número de usuários e uma queda drástica nos preços do SLP .

Fundador do Axie Infinity, Sky Mavis, lança token de governança RON

O token estava sendo negociado em torno de US$ 3,75 após o lançamento.