Jaredfromsubway Hacker Ignora il 50% di ricompensa, dirotta i fondi verso Tornado Cash

L'attaccante dietro l'exploit del bot MEV di Ethereum Jaredfromsubway ha trasferito milioni di dollari attraverso Tornado Cash, nonostante un'offerta pubblica di restituire metà dei fondi rubati in cambio di una ricompensa da white-hat.

Il trasferimento suggerisce che l'attaccante potrebbe avere poco interesse a negoziare, anche con l'operatore del bot che offre ricompense e afferma di aver avuto discussioni con gruppi di recupero potenziali.

Come il Bot è Stato Battuto nel Suo Stesso Gioco

L'exploit, secondo Peckshield, è avvenuto il 20 giugno e ha fruttato all'attaccante 1.474 WETH, 2,87 milioni di USDC e 2 milioni di USDT, apparentemente senza che alcun codice fosse stato violato.

Un'altra azienda di sicurezza blockchain, Blockaid, ha spiegato che la persona responsabile ha costruito un certo numero di token wrapper falsi, tra cui fWETH, fUSDC e fUSDT, e li ha abbinati a pool di liquidità falsi che apparivano al sistema di scansione automatica del bot come opportunità MEV redditizie.

Ha quindi fatto esattamente ciò per cui era stato progettato: individuare un presunto scambio succulento e concedere approvazioni di token ai contratti di aiuto dell'attaccante. Secondo l'analisi di Blockaid, durante le prime transazioni di prova, quelle approvazioni sono state consumate normalmente, il che significa che nulla è stato segnalato come sospetto. Successivamente, l'exploit ha creato percorsi in cui il bot continuava a concedere approvazioni che non venivano mai revocate, accumulando diritti di spesa sulle partecipazioni del bot nel processo mentre aspettava il momento giusto.

Quando quel momento finalmente arrivò, il contratto dell'attaccante utilizzò quelle approvazioni aperte per prelevare WETH, USDC e USDT direttamente dal contratto Jaredfromsubway utilizzando chiamate standard transferFrom. Il ricercatore di criptovalute RaFi, che ha pubblicato un thread dettagliato sull'incidente, lo ha descritto come una “masterclass in ingegneria sociale on-chain.”

La risposta dell'operatore del bot è arrivata a ondate. Inizialmente hanno offerto una ricompensa di 1 milione di dollari all'hacker per restituire il denaro rubato e altri 50.000 dollari per chiunque potesse aiutarli a trovare l'attaccante. Poco dopo, hanno offerto una ricompensa “sensibile al tempo” di 3 milioni di dollari per i fondi, promettendo piena riservatezza e nessuna domanda.

Con nessuna risposta discernibile in arrivo, l'operatore di Jaredfromsubway decise di inviare un messaggio on-chain dicendo che avrebbero accettato 2.150 ETH, che è circa il 50% del bottino, e diedero all'attaccante 48 ore per rispondere, con piani di “perseguire tutti i rimedi legali e di enforcement disponibili” se la scadenza fosse passata senza un ritorno.

Ma l'attaccante sembra aver dato una risposta di qualche tipo, con Onchain Lens che riporta che recentemente hanno spostato 2.000 ETH, del valore di circa 3,4 milioni di dollari, attraverso Tornado Cash. Si dice anche che abbiano venduto 1.422 ETH per circa 2,4 milioni di dollari in DAI, e avevano solo 5 ETH rimanenti nel loro portafoglio.

Contatto White-Hat

All'ultimo aggiornamento, il runner del bot ha detto che un gruppo autodefinito white-hat aveva preso contatto e che le trattative erano in corso, anche se nulla era stato confermato.

Gli sviluppatori di blockchain stanno cercando modi per ridurre l'attività di MEV, uno di questi metodi è una proposta di Aptos per crittografare i sistemi mempool in modo da mantenere le transazioni private fino a quando non vengono eseguite.

Fonte: CryptoPotato