1/ Tutkimus siitä, kuinka tunnistin yhden epäillyistä, joka on sidoksissa 28 miljoonan dollarin Bittensor-hakkerointiin vuodelta 2024 tunnistamalla entiseen työntekijään liittyvät anime-NFT-pesukaupat ja ansaitsi ponnisteluistani valkohattupalkkion.

2/32 $TAO haltijat kokivat yli 28 miljoonan dollarin luvattomat siirrot toukokuusta heinäkuuhun 2024, ja Bittensor-verkko pysäytettiin väliaikaisesti 2. heinäkuuta 2024. Tiimin julkaisema ruumiinavaus paljasti, että varkaudet olivat seurausta toimitusketjuhyökkäyksestä sen jälkeen, kun haitallinen PyPi-paketti ladattiin toukokuun 2024 lopulla Uhrit, jotka latasivat paketin ja suorittivat tiettyjä toimintoja, vaaransivat vahingossa yksityiset avaimet.

3/ Aloin jäljittää varastettuja varoja kahdesta alkuperäisestä varkausosoitteesta, TAO siltattiin Ethereumiin Bittensorin alkuperäisen sillan kautta ja siirrettiin sitten pikapörsseihin, joissa hyökkääjät vaihtoivat XMR:ään. Uhrit: 400 000 dollaria: 5ENiTXL63DRMKytjaDRBLnorwd6qURKcCVgsgpu8UQxgptQN 13 miljoonaa dollaria: 5DnXm2tBGAD57ySJv5SfpTfLcsQbSKKp6xZKFWABw3cYUgqg

4/ Varkauksien yhdistäminen 0x09f talletettu ~4,94 miljoonaa dollaria Railgunille, tietosuojaprotokollalle kesäkuussa 2024. Yhteensä 548 934 ETH:ta talletettiin 0x601:n kautta 8.-9. kesäkuuta. 701,066 ETH, 277,2K USDC, yhteensä 22,35 WETH talletettiin 0xf5ff:n kautta 11. ja 15. kesäkuuta. 0x09f76d4fc3bce5bf28543f45c4cee9999e0a0aaf

5/ Anonymisoin Railgun-nostot kolmeen osoitteeseen (0x1d7, 0x87d8, 0x1fbc) soveltamalla ajoitus-/määräheuristiikkaa. Talletukset yhteensä: 1249,68 ETH, 277,2K USDC, 22,35 WETH Nostot yhteensä: 1246,16 ETH, 276,4K USDC, 19,83 WETH Ainutlaatuiset nimellisarvot ja lyhyt talletusaika tekevät demixistä korkean luottamuksen. Nosto-osoitteet: 0x87d82c5401764f87856a31746f603ff766c72c7d 0x1d7ac347943c2143587978141a9415f2138adc2a 0x1fbc554caff6c1b4c00a692c9849de62de97e29c

6/ Varastetut varat virtasivat useampiin välittömiin pörsseihin 0x87d8 9. kesäkuuta ja loput yhdistettiin 0x1d7 10. kesäkuuta. 0x1d7 silloitti 1054 ETH:ta Avalancheen ja takaisin Ethereumiin Synapsen kautta 14. kesäkuuta. 0x4fbc6c00fa1ef99561e1d977ee6c678a54cfb06f

7/ 0x1d7 osti 4 X Killer GF NFT:tä hintaan 18.644 ETH 12. kesäkuuta klo 18.29 UTC 0x0bc7 äskettäin rahoitetusta lompakosta instant exchange 2:n kautta, joka osti 30 KGF NFT:tä yhteensä 1.279 ETH:lla 12. kesäkuuta klo 17.58 UTC. Pohjahinta oli keskimäärin ~0,045 ETH per NFT, mikä tarkoittaa, että 0x1d7 on epäilyttävästi ylimaksettu 0x0bc7 monilla kertoimilla.

8/ 0x5e9c osti 30 X Killer GF NFT:tä yhteensä 3,23 ETH:lla 12. kesäkuuta klo 18.35 UTC. 0x5e9c myi 27 NFT:tä 0x0bc7:lle ~19,3 ETH:lla varkausosoitteesta 0x1d7 pestyillä varoilla. Alla oleva kaavio osoittaa, kuinka kaikki kolme mukana olevaa osoitetta ovat vuorovaikutuksessa keskenään.

9/ 0x5e9c rahoitettiin 14 ETH:lla 0xcf0c mennessä 12. kesäkuuta klo 17.11 UTC ennen pesukauppoja. 0xcf0c on usein vuorovaikutuksessa 0xd512 kanssa, joka on Bittensorin käyttäjä ja otti käyttöön "Hot Wheels Presale" -sopimuksen projektiin "Skrtt racing" Lisätutkimukset paljastivat, että Skrtt-projektin loi henkilö, joka käyttää aliasta Rusty.

10/ Rusty käyttää X-tiliä "otc_rusty" ja hänen elämäkertansa mukaan hän oli aiemmin Opentensor-insinööri. Niille, jotka eivät tiedä, OT on perusta, joka hoitaa Bittensoria.

12/ On erittäin harvinaista nähdä hyväksikäytöt/hakkerit, joihin liittyy NFT-pesukauppaa, ja mielestäni kunkin osoitteen välinen suhde on aivan liian sattumaa, kun otetaan huomioon, miten ne rahoitettiin ennen NFT-ostoja ja niillä käytiin kauppaa useita kertaa kokoelman pohjahinnan yläpuolella. Toivottavasti lainvalvontaviranomaiset etenevät lopulta rikosasiassa tulevaisuudessa. Toinen todiste on hyökkääjän käyttämän välittömän vaihdon päällekkäisyys ja myös sidoksissa epäiltyihin, joihin en sukeltanut niin paljon, koska tämä viesti alkoi olla melko pitkä.