Chi ha hackerato FTX? Gli ultimi approfondimenti on-chain creano un nuovo colpo di scena

La problematica exchange di criptovalute è stata hackerata il 12 novembre, poche ore dopo aver dichiarato il fallimento volontario del Capitolo 11. Il CEO di FTX John J. Ray III ha affermato in un documento giudiziario datato 17 novembre che una parte non identificata ha trasferito almeno $372 milioni da FTX a un wallet esterno.

Sul canale Telegram ufficiale di FTX, un amministratore di nome Rey ha pubblicato: "Sembra che tutti i fondi siano scomparsi."

In reazione all'hacking, i fondi hanno iniziato a lasciare FTX attraverso un secondo wallet collegato a un account verificato know-your-customer sull'exchange di criptovalute Kraken. 

Sam Bankman-Fried, l'ex CEO di FTX, stava operando questo wallet e trasferendo fondi su richiesta del regolatore per "proteggere gli interessi dei clienti e dei creditori", secondo una successiva deposizione della Commissione dei Valori Mobiliari delle Bahamas. Questo ha impedito al primo hacker di rubare fondi stimati in $200 milioni.

Tecnica dell'exploiter di FTX

Il primo wallet, pensato come un cosiddetto hacker "black hat" che agisce con malizia, ha iniziato a convertire le attività rubate in Ethereum, la stablecoin DAI di MakerDAO e il token nativo della BNB Chain, trasferendo simultaneamente fondi attraverso numerosi bridge di token cross-chain mentre ciò accadeva. L'attaccante probabilmente l'ha fatto per evitare che i suoi guadagni illegali venissero congelati.

In molti non sanno che le stablecoin come USDC e USDT includono meccanismi integrati di congelamento e blacklist che permettono ai rispettivi emittenti di arrestare le transazioni e sequestrare i contanti.

L'hacker ha perso migliaia di dollari a causa di un significativo slippage dovuto allo scambio rapido di grandi numeri di token perché la velocità era essenziale. Questo aspetto da solo suggerisce che questo wallet probabilmente non si trova nella giurisdizione delle autorità bahamiane, che cercherebbero di proteggere le attività per il bene dei creditori di FTX. Solo un operatore scadente permetterebbe deliberatamente il decadimento delle trattative per evitare che le attività vengano sequestrate.

Prima di inviare il denaro all'exchange Huobi, l'hacker ha anche inviato 3.168 BNB a un account collegato a un piccolo exchange di criptovalute russo chiamato Laslobit. Per quanto riguarda il tesoro rimanente, il 20 novembre l'hacker ha iniziato a scambiare ETH con renBTC avvolto e trasmettendolo attraverso il bridge Ren sulla rete Bitcoin dopo essere rimasto inattivo per alcuni giorni.

 Successivamente, l'hacker probabilmente impiegherà un servizio di mixing di Bitcoin per interrompere la catena di custodia dei fondi. Inoltre, l'hacker ha iniziato a vendere ETH, il che ha portato a un calo del valore della seconda criptovaluta per capitalizzazione di mercato. Il 21 novembre, hanno iniziato a spostare ulteriori ETH in lotti di 15.000 token, il che ha sollevato preoccupazioni che si stessero preparando a vendere un'altra parte del loro stock.

Nuovo colpo di scena sull'hacker di FTX

Secondo una deposizione giudiziaria del 17 novembre, era stato inizialmente affermato che Bankman-Fried, agendo per conto del governo bahamiano, era l'hacker originale di FTX. Tuttavia, dati on-chain più estesi e indizi forniti nei documenti giudiziari di John J. Ray III e funzionari bahamiani hanno messo in discussione questa teoria.

Ora sembra che il secondo indirizzo stesse effettivamente inviando fondi fuori da FTX per salvaguardare le attività rimanenti dell'exchange. È importante notare che questi due wallet si comportano in modi notevolmente distinti. Il secondo wallet ha semplicemente spostato i token su un wallet multi-firma, mentre il primo wallet ha iniziato a scambiare, fare bridge e riciclare le attività.

Non è ancora chiaro esattamente come FTX sia stato hackerato. Alcuni hanno ipotizzato che l'hacker potesse essere un ex dipendente scontento che aveva accesso ai conti di FTX in base alla tempistica dell'attacco immediatamente dopo il fallimento dell'azienda.

Tuttavia, è anche possibile che qualcuno non correlato a FTX abbia sfruttato l'instabilità dell'azienda per lanciare un attacco. Potrebbero averlo fatto attirando il personale a leggere email infette da malware mentre erano confusi riguardo al fallimento dell'azienda. Questo metodo è stato impiegato in precedenti hacking di alto profilo attribuiti al gruppo di hacker sponsorizzato dallo stato nordcoreano Lazarus Group.

Maggiori dettagli su come l'exchange è stato hackerato e su chi è responsabile probabilmente emergeranno man mano che il caso di fallimento di FTX si sviluppa.