CertiK établit un lien entre les dépôts en espèces de 63 millions de dollars de Tornado et le piratage d’un portefeuille de 282 millions de dollars

Aperçu des principaux éléments :

• CertiK a établi un lien entre environ 63 millions de dollars de dépôts Tornado Cash et la compromission du portefeuille de 282 millions de dollars survenue le 10 janvier.
• Au moins 686 BTC ont été transférés vers Ethereum et convertis en environ 19 600 ETH, puis répartis entre les portefeuilles.
• Le piratage est lié à un vol de phrase de départ, le portefeuille contenant environ 1 459 BTC et plus de 2 millions de Litecoin.

La société de sécurité blockchain CertiK a établi un lien entre environ 63 millions de dollars de dépôts de crypto-monnaies acheminés par Tornado Cash et la compromission d’un portefeuille de 282 millions de dollars qui s’est produite le 10 janvier. La société a déclaré que ses systèmes de surveillance ont détecté des interactions avec le mélangeur de confidentialité qui correspondaient au mouvement des fonds après le vol.

L’incident a attiré l’attention en raison de l’ampleur de la perte et de la rapidité avec laquelle les actifs ont été déplacés.

CertiK suit les échanges inter-chaînes entre le bitcoin et l’éther

CertiK a indiqué qu’une partie des bitcoins volés a été transférée sur Ethereum avant d’être convertie en Ether. La société a déclaré qu’au moins 686 BTC ont été déplacés par le biais d’échanges entre chaînes, ce qui a entraîné l’arrivée d’environ 19 600 ETH dans une seule adresse Ethereum. À partir de là, l’Ether a été réparti entre plusieurs portefeuilles en lots plus petits.

Le schéma de fractionnement impliquait l’envoi de plusieurs centaines d’ETH à partir de chaque adresse avant que les fonds n’entrent dans Tornado Cash. CertiK a décrit les dépôts dans Tornado Cash comme étant directement liés à l’exploit, le chiffre de 63 millions de dollars ne représentant qu’une partie de la valeur totale volée.

Malgré cela, la traçabilité des flux permet de voir clairement comment l’attaquant a géré les fonds après la compromission initiale.

En passant du Bitcoin à l’Ether, puis en fragmentant les avoirs sur plusieurs adresses, l’attaquant a créé des étapes supplémentaires entre le vol et les dépôts finaux du mixeur. Chaque étape a ajouté plus de transactions à suivre pour les enquêteurs, tandis que le transfert du mélangeur a réduit la capacité à suivre les fonds en utilisant les outils de traçage standard de la blockchain.

Les dépôts en espèces de Tornado réduisent la traçabilité

Les conclusions de CertiK s’alignent sur les méthodes de blanchiment souvent observées après de grands vols de crypto-monnaies qui commencent sur une chaîne et se déplacent vers une autre. Marwan Hachem, PDG de la société de sécurité blockchain FearsOff, a déclaré que le flux ressemble à des tactiques établies utilisées dans les vols entre chaînes impliquant Bitcoin et Litecoin. Il a noté que l’attaquant a utilisé THORswap pour les conversions de Bitcoin en Ether et qu’il a ensuite divisé les actifs en morceaux d’environ 400 ETH.

Une fois que les fonds ont atteint Tornado Cash, le traçage est devenu beaucoup plus difficile. Les mixeurs sont conçus pour mélanger des dépôts provenant de nombreuses sources, ce qui rend plus difficile l’établissement d’une correspondance entre une transaction sortante et une transaction entrante.

Dans les cas où des montants importants sont divisés en plusieurs transactions plus petites avant d’entrer dans un mélangeur, les enquêteurs doivent examiner un plus grand nombre d’adresses et de transferts avant que la piste ne devienne floue.

Le suivi de CertiK suggère que les dépôts de Tornado Cash n’étaient pas des mouvements aléatoires mais faisaient partie d’un processus délibéré visant à perturber l’historique des transactions. Cependant, 63 millions de dollars ne représentent qu’une fraction des 282 millions de dollars de compromission signalés

Seed Phrase Theft Enabled Full Wallet Control (contrôle complet du portefeuille)

Les enquêteurs ont établi un lien entre l’incident du 10 janvier et une attaque d’ingénierie sociale plutôt qu’une faille dans un contrat intelligent ou un exploit de protocole. Le chercheur en blockchain ZachXBT a précédemmentrapporté que l’attaquant s’est fait passer pour un membre du personnel d’assistance du portefeuille et a trompé la victime en lui révélant une phrase d’amorçage (seed phrase). Grâce à cette phrase, l’attaquant a obtenu un accès complet et a pris le contrôle des avoirs du portefeuille.

Les rapports liés à l’affaire indiquent que l’adresse compromise détenait environ 1 459 BTC et plus de 2 millions de Litecoin au moment de l’attaque. Après avoir pris le contrôle, l’attaquant a déplacé les actifs par le biais d’échanges et de transferts entre les chaînes, convertissant les bitcoins en éther avant de les disperser dans Tornado Cash.

Une autre société de sécurité, ZeroShadow, a déclaré précédemment qu’environ 700 000 dollars des fonds volés avaient été repérés et gelés au début du processus de blanchiment. Cependant, la plupart des fonds ont été transférés rapidement entre les portefeuilles et les plateformes avant que les mesures de conformité ne puissent limiter d’autres transferts.

La compromission du portefeuille est restée sous la surveillance de plusieurs équipes de sécurité en raison de son ampleur et de l’utilisation évidente d’étapes de blanchiment structurées. La mise à jour de CertiK élargit l’image publique de la façon dont les fonds ont été traités après le vol, y compris la conversion du bridge en Ethereum et les transferts échelonnés en Tornado Cash.