Адреса, идентифицированные как принадлежащие хакерам из КНДР, обменяли $200K через MetaMask в том, что выглядит как тест крипто-прачки

Адреса, идентифицированные как принадлежащие хакерам из Северной Кореи, отмыли 200 тысяч долларов в криптовалюте через MetaMask. Этот тип обмена сопровождается высокими комиссиями, но может служить точкой выхода для хакеров.

В серии обменов через MetaMask появился список адресов, связанных с предыдущими взломами хакеров из Северной Кореи. Адреса обменяли только 200 тысяч долларов в криптоактивах, оставив 1985 долларов в качестве комиссий за обмен. Маршрутизатор MetaMask является одним из инструментов с высокими комиссиями для обмена криптовалюты, но может быть быстрым и доступным для хакеров, чтобы скрыть происхождение средств или избежать заморозки токенов.

Хотя сумма была небольшой, само событие было зловещим, учитывая восприятие того, что хакеры из КНДР не торгуют, а тестируют. Хакерская активность замедлилась во второй половине 2024 года, но все еще есть признаки микширования и попыток скрыть средства.

Открытие с MetaMask следует за другим эпизодом, когда адреса хакеров использовали сервисы Web3, децентрализованные биржи (DEX) и собственный маршрутизатор кошелька. Недавно притоки от адресов хакеров были ошибки в логике вычислений Aave V3, немедленно приостановив новые депозиты и займы на затронутых рынках. Этот шаг был предпринят для обеспечения безопасности средств пользователей и возможности вывода средств и погашения займов без каких-либо рисков. на мосте Hyperliquid. Децентрализованная биржа бессрочных фьючерсов не была эксплуатирована каким-либо образом, но событие также рассматривалось как тест для перемещения средств. Некоторые считают, что Hyperliquid все еще находится в опасности из-за ограниченного количества точек валидаторов, которые могут быть эксплуатированы.

Сам MetaMask не был скомпрометирован и оставался безопасным кошельком, за исключением личных ошибок. Тейлор Монахан, @tayvano, также отметила, что кошелек подвергался множеству атак со стороны хакеров из Северной Кореи, которые всегда ищут способы разблокировать сохраненную криптовалюту.

«MetaMask всегда была обеспокоена… Мы внимательно отслеживаем КНДР, потому что они являются крупнейшей угрозой для криптокомпаний. Мы также отслеживаем всех других злоумышленников в сфере криптовалют, поскольку КНДР — крупнейшая, но не единственная угроза», — сказал @tayvano в недавнем посте в X посту.

Хакеры из КНДР избегают USDC как блокируемого актива

Замедляя свои эксплойты, хакеры из Северной Кореи обменивают средства и перемещаются между цепочками.

Список кошельков, использовавших обмены через MetaMask, также имеет долгую историю использования различных децентрализованных протоколов. Кошельки обмениваются между Ethereum (ETH) и стейблкоинами USDT и USDC.

Оба стейблкоина теоретически являются блокируемыми активами, особенно USDC. По этой причине кошельки всегда обмениваются обратно на ETH или другие токены, или перемещаются в сеть Arbitrum для некоторых задач. Кошельки никогда не держат баланс USDC долго, несмотря на высокую активность использования токена.

Два адреса были очень активны, взаимодействуя с аккаунтами ENS, пользователями OpenSea и протоколами web3. Обмены продолжались в последние несколько часов, снова с основной задачей перемещения средств в относительно небольших масштабах.

0x52263cAEc2e144C3A84cc16d014157360Ac85A89

0x070cA92f568037d351666b3918a0F6ba7ad20ED1

Активность кошельков и их контрагентов связана с некоторыми из самых активных в последнее время протоколов, мем-токенами, NFT и другими активами. Однако большая часть активности сосредоточена на обмене на стейблкоины как на временный шаг.

Активность кошельков вызывает еще больше опасений относительно безопасности Hyperliquid

Недавние обмены были относительно незначительными, с транзакциями менее $500. Однако некоторые контрагенты кошельков показали взаимодействие с DEX и хабами DeFi, часто совершая транзакции с Hyperliquid мостом.

История кошельков предполагаемого хакера также содержит взаимодействия с Hyperliquid за последние несколько часов и дней. На данный момент протокол не подвергался прямой атаке, но некоторые считают его еще одним инструментом для смешивания средств или торговли, чтобы скрыть происхождение токенов. Наибольшую обеспокоенность вызывает мост Hyperliquid, поскольку стоимость хаба росла экспоненциально. Мост удерживает более $2 млрд, и, возможно, он недостаточно защищен, согласно @tayvano.

На данный момент нет других прямых связей между MetaMask пользователями, совершающими обмены, и потенциальной атакой на мост. Обмены через MetaMask могут быть частью общей активности по перемещению между активами с минимальным отслеживанием.

Северокорейские хакеры, по сообщениям, удвоили свою добычу в 2024 году, потенциально выведя из крипторынка до $1,3 млрд. Большая часть активности была сосредоточена в первой половине года, а крупные взломы замедлились в последнем квартале.