L'hacker di Upbit ricicla i fondi attraverso Railgun, superando la prova di innocenza del mixer

L'hacker di Upbit potrebbe stare utilizzando Railgun per mescolare i fondi. Nonostante i controlli del mixer, gli indirizzi dell'hacker non sono stati segnalati e le transazioni sono state consentite di continuare. 

L'analisi on-chain ha mostrato che gli indirizzi collegati all'hack di Upbit hanno utilizzato il mixer Railgun. Il mixer esegue un controllo zero-knowledge per l'origine dei fondi. Questa volta, tuttavia, il controllo non ha impedito ai fondi di essere mescolati. 

Upbit è stato hackerato per oltre $36M, con oltre 30 milioni di $ in asset Solana. L'attacco multi-chain ha portato a swap immediati e movimenti di fondi tra portafogli. 

L'hacker ha venduto la maggior parte degli asset quasi immediatamente, in particolare i token basati su Solana. L'investigatore on-chain @dethective ha notato che la vendita ha avuto un effetto sui volumi dei mercati decentralizzati. Il giorno dopo l'hack, i portafogli dell'exploiter hanno scambiato token Solana in SOL. Dopo di che, il SOL è stato scambiato in USDC e le stablecoin sono state trasferite su Ethereum per il mescolamento. 

In totale, l'hacker ha detenuto oltre 533 ETH dopo le commissioni, valutate intorno a 1,6 milioni di $. Il passaggio a Ethereum e il successivo mescolamento sono un modello solitamente attribuito agli hacker nordcoreani. 

Anche Upbit ha aggiunto nuove informazioni sul suo hack. Secondo un comunicato dallo scambio, l'exploit potrebbe essere dovuto a un difetto nel sistema interno dello scambio, che è stato patchato. Upbit ha dichiarato che l'hacker potrebbe aver dedotto le chiavi private dai portafogli caldi pubblicamente disponibili a causa di un hashing delle chiavi prevedibile e di una crittografia debole.

Railgun non disponeva delle informazioni più recenti sui portafogli degli hacker

L'approccio di Railgun è quello di testare i portafogli di ciascun utente contro database costantemente aggiornati per individuare cattivi attori. In questo caso, l'elenco completo degli indirizzi dell'hacker era molto recente. Inoltre, l'exploit è passato attraverso diversi swap diretti su DEX e parte dei fondi è stata spostata su nuovi portafogli. I dati disponibili per Railgun erano quindi obsoleti e l'ultimo portafoglio dell'hacker ha superato il test. 

L'ultimo portafoglio intercettato ha riciclato un totale di 410 ETH. Il nuovo indirizzo è stato creato poche ore dopo l'hack ed è stato brevemente utilizzato come intermediario. Il rapido cambiamento di portafogli ha inoltre evitato i filtri di Railgun.  

Railgun utilizzato per attività DeFi

Railgun ha guadagnato popolarità durante la recente rinascita della narrazione sulla privacy. Railgun ha aumentato il suo pool di asset, con $95M in valore bloccato a novembre 2025. Il valore aumentato segnala un interesse crescente, poiché il mixer ha raggiunto 1,31 milioni di $ di commissioni per il terzo trimestre. 

L'utilizzo dei mixer è cresciuto nell'ultimo anno. Tornado Cash, che in precedenza vedeva solo attività di base, ha aumentato il suo valore bloccato a un nuovo picco. Il mixer detiene oltre 32K ETH, dopo diversi exploit di alto profilo. 

Il token nativo RAIL è anche salito di oltre il 200% negli ultimi tre mesi, scambiato a $3.26. Railgun ha riflesso il successo di ZCash e di altri token privacy, mentre è stato anche promosso da Vitalik Buterin. 

Railgun non è uno strumento preferito dagli hacker e dagli exploiters. Piuttosto, è stato uno strumento di privacy generale per le transazioni regolari. Gli influencer crypto e le figure di alto profilo mirano alla privacy, poiché anche i dati delle transazioni possono portare al tracciamento o persino a oscillazioni dei prezzi. 

Tuttavia, l'utilizzo di Railgun può essere tracciato. Inoltre, gli indirizzi degli hacker possono utilizzare strumenti per testare quali portafogli verrebbero segnalati da Railgun. Questo permetterebbe agli hacker di continuare a nascondere i proventi degli exploit, per la maggior parte non tracciabili.