Хакер Upbit отмывает средства через Railgun, проходя проверку невиновности миксера

Хакер Upbit, возможно, использует Railgun для смешивания средств. Несмотря на проверки миксера, адреса хакеров не были помечены, и транзакции продолжались. 

Анализ ончейн-данных показал, что адреса, связанные с взломом Upbit, использовали миксер Railgun. Миксер выполняет проверку нулевого разглашения для происхождения средств. На этот раз, однако, проверка не предотвратила смешивание средств. 

Upbit был взломан на сумму более $36M, с активами в Solana на сумму более $30 млн. Атака на нескольких цепочках привела к немедленным обменам и перемещениям средств между кошельками. 

Хакер продал большую часть активов почти сразу, особенно токены на базе Solana. Ончейн-исследователь @dethective отметил, что продажа повлияла на объемы децентрализованных рынков. На следующий день после взлома кошельки злоумышленника обменяли токены Solana на SOL. После этого SOL был продан за USDC, а стейблкоины были переведены в Ethereum для смешивания. 

В общей сложности хакер удерживал более 533 ETH после комиссий, что оценивается примерно в $1,6 млн. Переход в Ethereum и последующее смешивание — это паттерн, который обычно приписывается северокорейским хакерам. 

Upbit также добавил новую информацию о своем взломе. Согласно заявлению от биржи, эксплуатация может быть вызвана уязвимостью во внутренней системе биржи, которая была устранена. Upbit заявил, что хакер мог вывести приватные ключи из общедоступных горячих кошельков из-за предсказуемого хеширования ключей и слабой криптографии.

У Railgun не было самой последней информации о кошельках хакеров

Подход Railgun заключается в проверке кошельков каждого пользователя по постоянно обновляемым базам данных злоумышленников. В данном случае полный список адресов хакера был очень свежим. Кроме того, эксплуатация прошла через несколько прямых обменов на DEX, и часть средств была переведена на новые кошельки. Данные, доступные Railgun, поэтому были устаревшими, и последний кошелёк хакера прошел проверку. 

Последний перехваченный кошелёк отмыл в общей сложности 410 ETH. Новый адрес был создан всего через несколько часов после взлома и кратко использовался в качестве посредника. Быстрая смена кошельков также позволила избежать фильтров Railgun.  

Railgun используется для деятельности в DeFi

Railgun набрал популярность во время недавнего возрождения нарратива о конфиденциальности. Railgun увеличил свой пул активов, с $95M в заблокированной стоимости по состоянию на ноябрь 2025 года. Рост стоимости сигнализирует о растущем интересе, так как миксер заработал $1,31 млн комиссионных за третий квартал. 

Использование миксеров выросло за последний год. Tornado Cash, ранее наблюдавший только базовую активность, увеличил свою заблокированную стоимость до нового пика. Миксер удерживает более 32 тыс. ETH после нескольких высокопрофильных эксплуатаций. 

Родственный токен RAIL также вырос более чем на 200% за последние три месяца, торгуясь по цене $3.26. Railgun отразил успех ZCash и других токенов конфиденциальности, а также был поддержан Виталиком Бутериным. 

Railgun не является инструментом выбора для хакеров и эксплуататоров. Скорее, это общий инструмент конфиденциальности для обычных транзакций. Крипто-инфлюенсеры и высокопоставленные лица стремятся к конфиденциальности, так как даже данные транзакций могут привести к отслеживанию или даже колебаниям цен. 

Однако использование Railgun также может быть отслежено. Кроме того, адреса хакеров могут использовать инструменты для тестирования того, какие кошельки будут помечены Railgun. Это позволит хакерам продолжать скрывать доходы от эксплуатаций, большинство из которых не поддаются отслеживанию.