1/ 一項調查，探討我如何識別與2024年2800萬美元Bittensor黑客事件相關的嫌疑人，通過識別與一名前員工相關的動漫NFT洗錢交易，並因此獲得了白帽獎勵。

2/ 32 名 $TAO 持有者在 2024 年 5 月至 7 月期間經歷了超過 2800 萬美元的未經授權轉帳，並且 Bittensor 網路在 2024 年 7 月 2 日暫時停止運作。 團隊發佈的事後分析顯示，這些盜竊是由於供應鏈攻擊造成的，因為在 2024 年 5 月底上傳了一個惡意的 PyPi 套件。 下載該套件並執行特定操作的受害者不小心洩露了私鑰。

3/ 我開始追蹤來自兩個初始盜竊地址的被盜資金，TAO 通過 Bittensor 原生橋接到 Ethereum，然後轉移到即時交易所，攻擊者在那裡兌換成 XMR。 受害者： $400K: 5ENiTXL63DRMKytjaDRBLnorwd6qURKcCVgsgpu8UQxgptQN $13M: 5DnXm2tBGAD57ySJv5SfpTfLcsQbSKKp6xZKFWABw3cYUgqg

4/ 盜竊整合 0x09f 在2024年6月存入了約$4.94M到Railgun，一個隱私協議。 548.934 ETH 總共是通過0x601在6月8日至9日存入的。 701.066 ETH，277.2K USDC，22.35 WETH 總共是通過0xf5ff在6月11日和15日存入的。 0x09f76d4fc3bce5bf28543f45c4cee9999e0a0aaf

5/ 我通過應用時間/金額啟發式方法，將 Railgun 提現去匿名化到三個地址 (0x1d7, 0x87d8, 0x1fbc)。 總存款：1249.68 ETH，277.2K USDC，22.35 WETH 總提現：1246.16 ETH，276.4K USDC，19.83 WETH 獨特的面額和短暫的存款時間使得去混合的信心很高。 提現地址： 0x87d82c5401764f87856a31746f603ff766c72c7d 0x1d7ac347943c2143587978141a9415f2138adc2a 0x1fbc554caff6c1b4c00a692c9849de62de97e29c

6/ 被盜資金於6月9日從0x87d8流向更多即時交易所，剩餘資金於6月10日合併至0x1d7。 0x1d7於6月14日透過Synapse橋接了1054 ETH到Avalanche，然後再回到Ethereum。 0x4fbc6c00fa1ef99561e1d977ee6c678a54cfb06f

7/ 0x1d7 在 6 月 12 日 UTC 時間下午 6:29 從 0x0bc7 購買了 4 個 Killer GF NFT，總共花費 18.644 ETH，0x0bc7 是一個新資金的錢包，通過即時交易 2 購買了 30 個 KGF NFT，總共花費 1.279 ETH，交易時間為 6 月 12 日 UTC 時間下午 5:58。 地板價格平均約為每個 NFT 0.045 ETH，這意味著 0x1d7 從 0x0bc7 的交易價格可疑地高出許多倍。

8/ 0x5e9c 在 6 月 12 日 UTC 時間下午 6:35 總共以 3.23 ETH 購買了 30 個 Killer GF NFT。 0x5e9c 將 27 個 NFT 賣給 0x0bc7，約為 19.3 ETH，使用從盜竊地址 0x1d7 洗出來的資金。 下圖顯示了所有三個相關地址之間的互動。

9/ 0x5e9c 於 6 月 12 日 UTC 時間下午 5:11 由 0xcf0c 資助了 14 ETH，這是在洗盤交易發生之前。 0xcf0c 與 0xd512 有頻繁的互動，後者是一名 Bittensor 用戶，並為一個名為 ‘Skrtt racing’ 的項目部署了 ‘Hot Wheels Presale’ 合約。 進一步調查顯示，Skrtt 項目是由一位使用化名 Rusty 的人創建的。

10/ Rusty 使用 X 帳號 ‘otc_rusty’，他的簡介中提到他曾是 Opentensor 工程師。 對於那些不知情的人來說，OT 是管理 Bittensor 的基礎。

12/ 看到涉及 NFT 洗錢交易的漏洞/黑客攻擊是極其罕見的，我認為每個地址之間的關係實在是太巧合了，考慮到他們在 NFT 購買之前的資金來源，以及在該系列的地板價之上進行的多次交易。 希望執法機構最終能在未來推進刑事案件。 另一個證據是攻擊者使用的即時交易所與嫌疑人之間的重疊，我沒有深入探討這一點，因為這篇文章變得相當冗長。