6,2 milioni di dollari rubati da Saga sfruttano il terreno su Tornado Cash

6,2 milioni di dollari dei fondi rubati durante l'exploit SagaEVM sono stati traca depositi in Tornado Cash, un mixer per la privacy su Ethereum che aiuta a oscurare le tracce delle transazioni. 

Questa tattica è comune tra gli hacker che cercano di riciclare ingenti somme di denaro rubate e di rendere il recupero quasi impossibile. 

L' exploit che ha preso di mira SagaEVM, descritto come un L1 per lanciare L1, si è verificato il 21 gennaio. Dopo l'incidentedentil team ha pubblicato su X che l'L1 era stato messo in pausa all'altezza del blocco 6593800 in risposta all'exploit confermato sulla chainlet SagaEVM.

Come gli hacker hanno riciclato i fondi rubati 

Secondo il rapporto della società di sicurezza blockchain CertiK, gli aggressori hanno inizialmente distribuito i fondi su cinque portafogli separati prima di convogliarli nel privacy mixer tramite più transazioni. 

"Sono in corso le misure di mitigazione e il team è completamente concentrato sulla ricerca di una soluzione", scrisse all'epoca. 

L'exploit ha comportato il trasferimento di quasi 7.000.000 di dollari in USDC, yUSD, ETH e tBTC sulla rete principale Ethereum . Il portafoglio dell'exploiter è statodente fornito a exchange e bridge per inserirlo nella blacklist e, possibilmente, recuperare i fondi rubati. 

Secondo il rapporto di Certik, 6,2 milioni di dollari di quei fondi sono stati ora suddivisi in depositi immessi nel mixer Tornado Cash . Si prevede che ciò vanificherà gli sforzi di bonifica e recupero. 

L'ultimo deposito accresce la notorietà di Tornado Cash, aggiungendosi a un passato costellato di sanzioni statunitensi e problemi legali che ancora affliggono i suoi sviluppatori. 

Gli aggressori continuano a usarlo per oscurare le loro tracce dopo l'attacco, e fa esattamente ciò per cui è stato progettato: aiutarli a scomparire. 

Che fine ha fatto SagaEVM? 

Secondo un'autopsia condivisa dal team il 21 gennaio, l'dent ha coinvolto una sequenza coordinata di implementazioni ditrac, attività cross-chain e successivi prelievi di liquidità.

Il documento ha rivelato che il team ha sospeso la catena per eccesso di cautela, mentre indagava attivamente e mitigava il problema. Ha rivelato che l'obiettivo era quello di impedire ulteriori impatti mantenendo SagaEVM in pausa durante l'implementazione della mitigazione; convalidando l'intero raggio di esplosione utilizzando dati di archivio e tracdi esecuzione; e rafforzando i componenti rilevanti prima di un riavvio. 

I principali componenti interessati dall'exploit includono la chainlet SagaEVM, oltre a Colt e Mustang. Altri, come la mainnet Saga SSC, il consenso del protocollo Saga, la sicurezza del validatore e altre chainlet Saga, non sono stati interessati. 

"Non si è verificato alcun fallimento del consenso, nessuna compromissione dei validatori o fuga di chiavi dei firmatari", si legge. "La rete Saga nel suo complesso rimane strutturalmente solida." 

Il team ha affermato che i prossimi passi saranno il completamento della convalida della causa principale, la correzione e il rafforzamento dei componenti cross-chain e di distribuzione interessati, il coordinamento con i partner dell'ecosistema, ove pertinente, e la pubblicazione di un'analisi tecnica post-mortem più completa. 

La vulnerabilità rimanda a Cosmos 

Dopo aver ricevuto supporto dagli Cosmos Labs, il team ha rivelato che il problema aveva origine nel codice base originale di Ethermint, rendendolo un problema ereditario. 

In risposta a quel post, Cosmos Labs ha rilasciato una dichiarazione, ammettendo di essere a conoscenza dell'incidentedent affermando di aver lavorato a stretto contatto con Saga e partner esterni nel settore della sicurezza per indagare e risolvere la "vulnerabilità confermata". 

Hanno rivelato di aver contattato un sottoinsieme di catene EVM che ritenevano interessatedent e di aver fornito misure di mitigazione a breve termine. 

"Come sempre, raccomandiamo a tutti i progetti di continuare ad implementare pratiche di sicurezza di base come la limitazione della velocità di accesso e il monitoraggio della sicurezza per rafforzare il rilevamento e la mitigazione tempestivi", hanno scritto su X.