Las autoridades estadounidenses realizan una detención en el primer caso penal relacionado con un ataque a un smart contract operado por un intercambio descentralizado

El 11 de julio de 2023, el Fiscal de los Estados Unidos para el Distrito Sur de Nueva York, el Agente Especial a cargo de la Oficina de Campo de San Diego de Investigaciones de Seguridad Nacional ("HSI"), y el Agente Especial a cargo de la Oficina de Campo de Los Ángeles del Servicio de Impuestos Internos - Investigación Criminal ("IRS"), anunciaron la presentación de una acusación contra Shakeeb Ahmed (el acusado) por fraude electrónico y blanqueo de dinero en relación con su ataque a una bolsa de criptomoneda descentralizada (la "Criptobolsa"). Ahmed también fue detenido esa misma mañana en la ciudad de Nueva York. Este es el primer caso penal relacionado con un ataque a un smart contract operado por un intercambio descentralizado. TRM Labs se enorgullece de haber apoyado a las fuerzas de seguridad a lo largo de esta investigación y a la víctima durante la respuesta al incidente.

Según la acusación, en julio de 2022, Ahmed, un ingeniero de seguridad capacitado, llevó a cabo un ataque a la Crypto Exchange explotando una vulnerabilidad en uno de los smart contracts de la Crypto Exchange e insertando datos de precios falsos para provocar fraudulentamente que ese smart contract inteligente generara aproximadamente 9 millones de dólares de comisiones infladas que Ahmed no ganó legítimamente, comisiones que Ahmed pudo retirar de la Crypto Exchange en forma de criptomoneda. 

Después de robar las comisiones, Ahmed mantuvo comunicaciones con la Crypto Exchange en las que decidió devolver todos los fondos robados excepto 1,5 millones de dólares si la Crypto Exchange accedía a no remitir el ataque a las fuerzas de seguridad.  

Según el escrito de acusación, Ahmed blanqueó los millones en comisiones que robó del Crypto Exchange para ocultar su origen y propiedad, incluyendo intercambios de tokens, saltos de cadena, el uso de monedas de privacidad como Monero, y utilizando intercambios en paraísos fiscales.

A continuación, hablaremos del exploit, la respuesta al incidente y la investigación utilizando Inteligencia en Blockchain de TRM.‍

La explotación‍

Según la acusación, en el momento del ataque, el acusado "era un ingeniero de seguridad senior para una empresa internacional de tecnología cuyo currículum reflejaba habilidades en, entre otras cosas, ingeniería inversa de smart contracts y auditorías de blockchain, que son algunas de las habilidades especializadas que Ahmed utilizó para ejecutar el ataque." El Crypto Exchange, también según la acusación, es un "creador de mercado automatizado" que se basa en smart contracts para que sus clientes intercambien activos en la blockchain Solana. Específicamente, el Crypto Exchange creó un mercado para el comercio mediante la puesta en común de la liquidez de sus clientes (por ejemplo, el cliente deposita 100 USDC en el intercambio a precio de mercado, el intercambio paga los honorarios del cliente por hacer que la liquidez esté disponible).

El 2 de julio de 2022, la Crypto Exchange notificó al público que estaba sufriendo un ataque y que tomaría medidas correctivas rápidas para proteger los fondos de los clientes. Ese ataque fue supuestamente llevado a cabo por el acusado, que explotó el smart contract asociado al intercambio proporcionando datos falsos para hacer creer que había suministrado un gran volumen de liquidez al intercambio, lo que en realidad no había hecho. Como resultado, el acusado recibió fraudulentamente importantes comisiones de la bolsa. 

Además, después de averiguar cómo explotar el smart contract de la Bolsa, el acusado supuestamente utilizó fondos de "préstamos flash" para hacer una serie de depósitos en la Bolsa, generando comisiones fraudulentas adicionales. A continuación, el acusado creó otra cuenta fraudulenta en la bolsa y manipuló aún más el smart contract inteligente para poder retirar rápidamente los fondos principales de la bolsa.

Se cree que el acusado obtuvo de forma fraudulenta, en total, más de 9 millones de dólares estadounidenses en criptodivisas de la Bolsa manipulando el smart contract. Utilizando TRM Labs Graph Visualizerse puede ver el exploit procedente de la dirección del explotador, cruzando blockchains de Solana a Ethereum, y moviéndose a direcciones ETH posteriores.

Tras la explotación, el acusado necesitaba ocultar el flujo de los fondos obtenidos fraudulentamente, por lo que comenzó a utilizar sofisticadas técnicas de blanqueo de capitales para ocultar el destino de los fondos. Al parecer, el acusado intercambió fondos entre blockchains varias veces, utilizó "mezcladores" de criptomonedas y trasladó fondos a criptomonedas con privacidad mejorada para ocultar el flujo defondos‍.

La respuesta‍

Tras el ataque, la Bolsa trabajó con el equipo de respuesta a incidentes de TRM y con investigadores de HSI e IRS para rastrear y localizar el flujo de fondos antes y después del ataque.

En el transcurso de la investigación y la respuesta al incidente, el acusado devolvió todos los fondos excepto 1,5 millones de USD en criptomoneda, que, según afirmó, se le debían por poner de manifiesto la vulnerabilidad del protocolo smart contract inteligentes.

Según la acusación, los investigadores utilizaron estos datos de la cadena con una investigación fuera de la cadena para identificar y detener finalmente al acusado. Esa investigación fuera de la cadena reveló que, tras el ataque, el acusado buscó en Internet información sobre el ataque, su propia responsabilidad penal, abogados penalistas expertos en casos similares, la capacidad de las fuerzas del orden para investigar con éxito el ataque y la huida de Estados Unidos para evitar cargos penales.  

Por ejemplo, según la acusación, dos días después del ataque, el acusado realizó una búsqueda en Internet del término "defi hack", leyó varios artículos de noticias sobre el hackeo del Crypto Exchange y realizó búsquedas en Internet o visitó sitios web relacionados con su capacidad para huir de Estados Unidos, evitar la extradición y conservar su criptodivisa robada: buscó los términos "can I cross border with crypto", "how to stop federal government from seizing assets" y "buying citizenship"; y visitó un sitio web titulado "16 Countries Where Your Investments Can Buy Citizenship . . ."

Este caso ejemplifica los esfuerzos sofisticados y coordinados de las agencias policiales estadounidenses como HSI e IRS, utilizando Inteligencia en Blockchain, para desbaratar y castigar el fraude en el ecosistema de la criptodivisa. También destaca la importancia de poder rastrear y seguir el flujo de fondos a través de blockchains para detener a los actores ilícitos que buscan ofuscar las transacciones.