China diz que 127.000 Bitcoins roubados (valendo ~$13 bilhões) foram levados pelos EUA em hack de nível estatal

A China acabou de acusar os Estados Unidos de realizar um ciberataque valendo quase $13 bilhões.

No domingo, o Centro de Resposta a Vírus de Computador Nacional da China (CVERC) afirmou que 127.272 Bitcoins roubados da pool de mineração LuBian em 2020 acabaram sob o controle do governo dos EUA após uma operação silenciosa de quatro anos.

As moedas estavam sob a posse de Chen Zhi, chefe do Grupo Prince no Camboja, que tentou de tudo, desde mensagens na blockchain até ofertas de resgate, para recuperá-las, mas não recebeu nada além de silêncio.

A agência chinesa disse que as moedas foram movidas em bloco, permaneceram intocadas por anos e foram então quietamente assumidas pelo Departamento de Justiça dos EUA no ano passado, antes que o DOJ indiciasse Chen em 14 de outubro deste ano e apreendesse toda a reserva.

O relatório do CVERC afirma que toda essa cadeia de eventos aponta para um hack de nível estatal projetado para parecer com aplicação da lei.

Mas, na verdade, o problema real começou com o sistema de geração de chaves da LuBian, porque em vez de usar números aleatórios adequados de 256 bits, eles cortaram custos.

De acordo com o CVERC, as carteiras foram criadas usando um seed pseudo-aleatório de 32 bits, confiando no algoritmo Mersenne Twister MT19937-32, que supostamente deu aos hackers apenas 4,29 bilhões de combinações para forçar a entrada em vez dos trilhões necessários para uma chave adequada.

Isso é quase idêntico à falha MilkSad divulgada em agosto de 2023, que foi posteriormente atribuída ao CVE-2023-39910. A equipe da MilkSad até listou as carteiras comprometidas da LuBian, correspondendo às 25 carteiras no caso do DOJ. Uma vez que o atacante descobriu a vulnerabilidade, o relatório do CVERC disse que levou menos de duas horas para invadir.

Mais de 5.000 endereços foram gerados com o mesmo sistema fraco, e todos não tinham multissignatura, nem carteiras de hardware, nem carteiras HD, nada.

Moedas roubadas permaneceram dormentes antes dos EUA as moverem

A pool de mineração LuBian, baseada principalmente na China e no Irã, estava crescendo rapidamente em 2020. Ela não usava exchanges, mas armazenava Bitcoin em carteiras não custodiais, o tipo que só você pode desbloquear com sua chave privada.

Em 29 de dezembro de 2020, as carteiras da LuBian foram atingidas em um ataque em bloco que drenou 127.272,06953176 BTC, valendo cerca de $3,5 bilhões na época. Menos de 200 BTC foram deixados para trás.

Todos os sinais apontam para um script de força bruta atacando mais de 5.000 carteiras, todas geradas com um algoritmo de chave privada quebrado. As moedas foram varridas rapidamente e depois permaneceram intocadas em carteiras controladas pelo atacante por quatro anos. Pelo menos é o que a Arkham confirmou quando marcou as carteiras finais como controladas pelo governo.

Durante o período de dormência, Chen e sua equipe tentaram entrar em contato com quem quer que tenha roubado os fundos. No início de 2021 e novamente em julho de 2022, eles embutiram mais de 1.500 mensagens na blockchain do Bitcoin usando a função OP_RETURN. Uma alegadamente dizia: “Por favor, devolvam nossos fundos, pagaremos uma recompensa.”

Outra implorava: “Ao whitehat que está salvando nosso ativo, entre em contato conosco através de [email protected] para discutir a devolução do ativo e sua recompensa.”

Nenhuma dessas recebeu resposta.

Então, entre 22 de junho e 23 de julho de 2024, o CVERC disse que todo o Bitcoin roubado se moveu repentinamente para um novo endereço, que, de acordo com o rastreamento on-chain da Arkham, pertence ao Uncle.

China afirma que apreensão dos EUA é uma traição dupla

Quando o DOJ fez sua movimento no início deste ano, as moedas roubadas já haviam permanecidas paradas por quase quatro anos, com menos de uma dez-milionésima parte movida.

A China diz que isso não se alinha com o comportamento típico de hackers, porque todos sabemos que hackers vendem ou misturam moedas, eles não as cuidam por anos.

A acusação listou 127.271 BTC em 25 endereços de carteira, todos rastreados até o hack de dezembro de 2020 da LuBian, com os fundos vindo das três fontes abaixo:-

• ~17,800 BTC de mineração independente
• ~2,300 BTC de salários de pools de mineração
• ~107,100 BTC de exchanges e outros fluxos de entrada

Mas o DOJ alegou que as moedas foram obtidas ilegalmente. Os números não batem. O impacto, no entanto, é que a LuBian nunca se recuperou. Mais de 90% de seus ativos foram eliminados.

O pool saiu do ar. O relatório chinês termina com um aviso para o resto da comunidade cripto: corrigam o código de suas carteiras, usem geradores de números aleatórios reais, adotem multisig, armazenamento a frio e monitoramento on-chain em tempo real. Ou da próxima vez, pode ser você.