Devolución de fondos a DeFi Exchange Nirvana en el primer proceso por pirateo de DeFi

Según TRM Labshoy se han devuelto unos 2,6 millones de USD en criptodivisas al exchange descentralizado Nirvana. Nirvana fue víctima de un hackeo en julio de 2022 que resultó en el primer enjuiciamiento y condena por un hackeo DeFi . TRM Labs se enorgullece de haber apoyado a las fuerzas del orden durante esta investigación y a la víctima durante la respuesta al incidente.

El equipo de Investigaciones Globales de TRM recibió una alerta en TRM Detect indicando que los fondos robados - en la stablecoin DAI - se movieron de nuevo al protocolo explotado DeFi .

Según los documentos judiciales, en julio de 2022, Shakeeb Ahmed, un ingeniero de seguridad capacitado, llevó a cabo un ataque contra un intercambio de criptodivisas no identificado explotando una vulnerabilidad en uno de los smart contracts de los intercambios.

Además, Ahmed, que se declaró culpable a finales del año pasado, atacó el protocolo DeFi Nirvana. Nirvana compraba y vendía su token de criptomoneda, ANA, y estaba diseñado de forma que cuando un usuario compraba una cantidad sustancial de ANA, el precio de ANA aumentaba, y cuando un usuario vendía una cantidad sustancial de ANA, el precio de ANA disminuía.

El 28 de julio de 2022, unas semanas después del hackeo de la Criptobolsa, Ahmed llevó a cabo el exploit de Nirvana en el que pidió un préstamo flash de aproximadamente 10 millones de USD, utilizó esos fondos para comprar ANA a Nirvana, y utilizó un exploit que descubrió en los smart contracts de Nirvana para comprar el ANA a su precio inicial bajo, en lugar de al precio más alto que Nirvana estaba diseñada para cobrarle a la luz del tamaño de su compra. Cuando el precio del ANA se actualizó para reflejar su gran compra, Ahmed revendió el ANA que había comprado a Nirvana al nuevo precio más alto, lo que le reportó un beneficio de aproximadamente 3,6 millones de USD.  

Nirvana ofreció a Ahmed una recompensa de 600.000 dólares por devolver los fondos robados, pero Ahmed exigió 1,4 millones de dólares, no llegó a un acuerdo con Nirvana y se quedó con todos los fondos robados. Los 3,6 millones de dólares robados por Ahmed representaban aproximadamente todos los fondos de Nirvana, que cerró poco después del ataque de Ahmed.

Ahmed blanqueó los millones que robó de la Crypto Exchange y de Nirvana utilizando varias técnicas de ofuscación en la cadena, incluido el uso de mezcladores, intercambios cruzados en cadena y la moneda de privacidad Monero.

A continuación, hablaremos del exploit en el Crypto Exchange, la respuesta al incidente y la investigación utilizando Inteligencia en Blockchain de TRM.

La explotación‍

Según la acusación, en el momento del ataque, el acusado "era un ingeniero de seguridad senior para una empresa internacional de tecnología cuyo currículum reflejaba habilidades en, entre otras cosas, ingeniería inversa de smart contracts y auditorías de blockchain, que son algunas de las habilidades especializadas que Ahmed utilizó para ejecutar el ataque." El Crypto Exchange, también según la acusación, es un "creador de mercado automatizado" que se basa en smart contracts para que sus clientes intercambien activos en la blockchain Solana. Específicamente, el Crypto Exchange creó un mercado para el comercio mediante la puesta en común de la liquidez de sus clientes (por ejemplo, el cliente deposita 100 USDC en el intercambio a precio de mercado, el intercambio paga los honorarios del cliente por hacer que la liquidez esté disponible).

El 2 de julio de 2022, la Crypto Exchange notificó al público que estaba sufriendo un ataque y que tomaría medidas correctivas rápidas para proteger los fondos de los clientes. Ese ataque fue supuestamente llevado a cabo por el acusado, que explotó el smart contract asociado al intercambio proporcionando datos falsos para hacer creer que había suministrado un gran volumen de liquidez al intercambio, lo que en realidad no había hecho. Como resultado, el acusado recibió fraudulentamente importantes comisiones de la bolsa. 

Además, después de averiguar cómo explotar el smart contract de la Bolsa, el acusado supuestamente utilizó fondos de "préstamos flash" para hacer una serie de depósitos en la Bolsa, generando comisiones fraudulentas adicionales. A continuación, el acusado creó otra cuenta fraudulenta en la bolsa y manipuló aún más el smart contract inteligente para poder retirar rápidamente los fondos principales de la bolsa.

Se cree que Ahmed obtuvo fraudulentamente, en total, más de 9 millones de dólares estadounidenses en criptomoneda de la Bolsa manipulando el smart contract. Utilizando TRM Labs Graph Visualizerse puede ver el exploit procedente de la dirección del explotador, cruzando blockchains de Solana a Ethereum, y moviéndose a direcciones ETH posteriores.

Tras la explotación, el acusado necesitaba ocultar el flujo de los fondos obtenidos fraudulentamente, por lo que comenzó a utilizar sofisticadas técnicas de blanqueo de capitales para ocultar el destino de los fondos. Al parecer, el acusado intercambió fondos entre blockchains varias veces, utilizó "mezcladores" de criptomonedas y trasladó fondos a criptomonedas con privacidad mejorada para ocultar el flujo de fondos‍.

La respuesta‍

Tras el ataque, la Bolsa trabajó con el equipo de respuesta a incidentes de TRM y con investigadores de HSI e IRS para rastrear y localizar el flujo de fondos antes y después del ataque.

En el transcurso de la investigación y la respuesta al incidente, el acusado devolvió todos los fondos excepto 1,5 millones de USD en criptomoneda, que, según afirmó, se le debían por poner de manifiesto la vulnerabilidad del protocolo smart contract inteligentes.

Según la acusación, los investigadores utilizaron estos datos de la cadena con una investigación fuera de la cadena para identificar y detener finalmente al acusado. Esa investigación fuera de la cadena reveló que, tras el ataque, el acusado buscó en Internet información sobre el ataque, su propia responsabilidad penal, abogados penalistas expertos en casos similares, la capacidad de las fuerzas del orden para investigar con éxito el ataque y la huida de Estados Unidos para evitar cargos penales.  

Por ejemplo, según la acusación, dos días después del ataque, el acusado realizó una búsqueda en Internet del término "defi hack", leyó varios artículos de noticias sobre el hackeo del Crypto Exchange y realizó búsquedas en Internet o visitó sitios web relacionados con su capacidad para huir de Estados Unidos, evitar la extradición y conservar su criptodivisa robada: buscó los términos "can I cross border with crypto", "how to stop federal government from seizing assets" y "buying citizenship"; y visitó un sitio web titulado "16 Countries Where Your Investments Can Buy Citizenship . . ."

El 14 de diciembre de 2023, Ahmed se declaró culpable en relación con los dos hackeos y acordó decomisar más de 12,3 millones de dólares estadounidenses, incluido el decomiso de aproximadamente 5,6 millones de dólares estadounidenses en criptomoneda obtenida fraudulentamente.

Este caso ejemplifica los esfuerzos sofisticados y coordinados de las agencias policiales estadounidenses como HSI e IRS, utilizando Inteligencia en Blockchain, para desbaratar y castigar el fraude en el ecosistema de la criptodivisa. También destaca la importancia de poder rastrear y seguir el flujo de fondos a través de blockchains para detener a los actores ilícitos que buscan ofuscar las transacciones.

‍