TRM enquête : Belt Finance et Visor Finance piratés

Principaux résultats

• Tornado Cash a été utilisé dans plus de 35 attaques de plateformes pour financer des portefeuilles d'exploitation ou dissimuler les mouvements de crypto-monnaie volés en 2021.
• L'attaquant Bent Finance a envoyé environ 240 Ethereum par l'intermédiaire de Tornado Cash à la suite de l'exploit le 20 décembre 2021.
• L'attaquant de Visor Finance a envoyé environ 110 Ethereum par l'intermédiaire de Tornado Cash à la suite de l'exploit le 21 décembre 2021.
• Au cours des trois premières semaines de décembre, plus de 600 millions de dollars en crypto-monnaies ont été volés lors d'attaques de plateformes à BadgerDAO, BitMart, AscendEX, Vulcan Forged, Grim Finance, Monkey Kingdom, Fractualwagami, Visor Finance et Bent Finance.

La plateforme de finance décentraliséeDeFi Bent Finance a annoncé dans la soirée du 20 décembre 2021 qu'elle enquêtait sur un exploit.

‍

Un examen des versions web archivées de Bent Finance a permis de constater que la plateforme avait fait l'objet d'un audit antérieur et que des audits ultérieurs étaient prévus.

TRM LabsL'enquête de TRM Labs a indiqué que l'exploitation de la plateforme Bent Finance pourrait avoir commencé au début du mois de décembre, sur la base des flux de la chaîne connectés aux portefeuilles de l'attaquant. Le 9 décembre 2021, l'attaquant présumé a reçu deux dépôts de Tornado Cash. Le 12 décembre 2021, l'attaquant a commencé à exécuter un retrait de 263kof cvxCRV de Bent Finance. Une fois que l'attaquant a pu retirer 263 000 cvxCRV, il a utilisé une plateforme DeFi pour échanger des ETH avant d'envoyer plus de 200 ETH à Tornado Cash. Ce processus se répète exactement dans la soirée du 20 décembre 2021 avec 240 ETH supplémentaires envoyés à Tornado Cash pour le mixeur.

‍

Une analyse post mortem publiée aujourd'hui par l'équipe de Bent Finance indique qu'un développeur de la plateforme s'est trompé et a injecté un exploit lors d'une récente mise à jour des portefeuilles multisig à la fin du mois de novembre.

Alors que l'équipe de développement de Bent Finance renforçait les processus de sécurité en migrant la propriété des contrats vers des portefeuilles multisig, un développeur a eu l'occasion d'injecter un exploit sur deux pools. Cela s'est produit trois jours avant la mise en place des portefeuilles multisig.

Les flux sur la chaîne de l'attaquant de Bent Finance ont imité les tactiques utilisées par l'exploit de Visor Finance qui s'est produit le matin du 21 décembre 2021. Selon l'équipe de Visor.Finance, un contrat de mise en jeu vVISR a été exploité.

‍

L'examen des flux sur la chaîne a confirmé que le portefeuille de l'exploit Visor a été financé avant l'attaque par un dépôt de Tornado Cash. Immédiatement après l'exécution de l'exploit, l'attaquant a utilisé les protocoles DeFi pour échanger contre de l'Ethereum avant d'effectuer un mixeur par le biais de Tornado Cash.

TRM continuera à surveiller les flux d'attaquants sur la chaîne et à mettre à jour ses systèmes de manière à ce que ses partenaires soient automatiquement alertés en cas d'exposition.

TRM Labs est le seul outil à proposer des analyses de chaînes croisées, ce qui permet aux enquêteurs de visualiser les échanges de chaînes croisées et les flux multiples au sein d'un même graphique. Les enquêteurs peuvent se déplacer de manière transparente à travers les blockchains pour retracer les flux de fonds, visualiser les relations multicouches et réduire considérablement le temps d'enquête grâce à notre technologie propriétaire de traçage automatisé. Pour plus d'informations ou pour signaler des pistes, contactez-nous à l'adresse investigations@trmlabs.com. Abonnez-vous à nos articles hebdomadaires ici.

‍