FixedFloat-een cryptocurrency exchange die werkt zonder “ken-uw-klant” (KYC) anti-witwasmaatregelen (AML) werd eerder deze maand gehackt, wat resulteerde in het verlies van meer dan 400 Bitcoin en meer dan 1.700 Ethereum, ter waarde van ongeveer $26 miljoen.
Blockchain beveiligingsbedrijf BlockFence identificeerde het Bitcoin adres dat gebruikt werd bij de diefstal, en on-chain data van een gekoppeld Ethereum adres onthulde meerdere transacties van hoge waarde naar verschillende adressen.
Volgens mede blockchain analytics bedrijf PeckShield werden de gestolen fondsen kort na de hack verplaatst via de Ethereum mixer eXch, wat de traceerbaarheid van de gestolen activa bemoeilijkt. Een klein deel van de fondsen werd verplaatst naar HitBTC en CoinSpot, zei PeckShield, waarbij het portefeuilleadres werd gelabeld als “FixedFloat drainer.”
PeckShieldAlert FixedFloat werd gehackt, waardoor ~1.728 $ETH (ter waarde van ~$4,85m) en & 409 $BTC (ter waarde van ~$21m) werden gestolen. De dader heeft het grootste deel van de gestolen $ETH al overgeboekt naar eXch op Ethereum pic.twitter.com/IZKbCclH8v
– PeckShieldAlert (@PeckShieldAlert) 19 februari 2024
FixedFloat vertelde TCN dat de hack niet werd uitgevoerd door een van zijn werknemers en dat “het een externe aanval was die werd veroorzaakt door kwetsbaarheden in onze beveiligingsstructuur.”
“Het probleem zat in onze infrastructuur, die gecompromitteerd was door gebreken en onvoldoende bescherming”, aldus het bedrijf. “Hierdoor konden de aanvallers toegang krijgen tot sommige functies van onze service.”
Na de hack noemde FixedFloat in eerste instantie “kleine technische problemen” en werden de systemen in de “onderhoudsmodus” gezet. Dit was voordat de volledige omvang van de hack bekend werd gemaakt, wat leidde tot verwarring en bezorgdheid onder gebruikers.
“We hebben de hack niet onmiddellijk gemeld, omdat we al op de hoogte waren van het incident en onmiddellijk zijn begonnen onze service in onderhoudsmodus te zetten om de veiligheid te waarborgen en verliezen te minimaliseren,” vertelde de exchange aan TCN. “Op dat moment lag onze belangrijkste focus op het snel elimineren van zwakke plekken en het versterken van de algehele beveiliging, waardoor we geen publieke verklaringen konden afleggen over wat er was gebeurd.”
In een latere verklaring verzekerde FixedFloat klanten dat hun tegoeden veilig waren en verduidelijkte dat de financiële verliezen alleen betrekking hadden op de dienst zelf en niet op activa van gebruikers. “FixedFloat voert niet de taken uit van een custodial service, dat wil zeggen dat het geen tegoeden van gebruikers opslaat. We zullen later meer informatie verstrekken,” twitterde het platform.
Echter, zodra berichten over de hack zich begonnen te verspreiden via sociale media, bevestigde het platform het incident en gaf het openheid over de aanval.
“We bevestigen dat er inderdaad sprake was van een hack en diefstal van fondsen,” schreef het officiële Twitter-account van FixedFloat in een reactie op een tweet. “We zijn nog niet klaar om publiekelijk commentaar te geven over deze zaak, omdat we werken aan het elimineren van alle mogelijke kwetsbaarheden, het verbeteren van de beveiliging en het onderzoeken.
“Onze service zal binnenkort weer beschikbaar zijn”, vervolgde het.
Hallo,
We bevestigen dat er inderdaad sprake was van een hack en diefstal van fondsen. We zijn nog niet klaar om publiekelijk commentaar te geven op deze zaak, omdat we werken aan het elimineren van alle mogelijke kwetsbaarheden, het verbeteren van de beveiliging en het onderzoeken. Onze service zal binnenkort weer beschikbaar zijn.
We zullen…
– FixedFloat⚡️ (@FixedFloat) Februari 18, 2024
De beurs verzekerde later dat de fondsen van gebruikers veilig bleven en dat de gestolen fondsen alleen de interne operaties van het bedrijf troffen. Als dat zo is, is het waarschijnlijk dat de hack afkomstig was van een van de hot wallets van de exchange.
De officiële FixedFloat site is nog steeds niet operationeel op het moment van schrijven.
Afbeelding: FixedFloat
FixedFloat, dat zichzelf aanprijst als een “onmiddellijke, volledig automatische cryptocurrency-uitwisseling met Lightning Network”, geeft voorrang aan privacy boven veiligheid en werkt zonder accountregistratie of identiteitsverificatie. Dit gebrek aan KYC-maatregelen is aantrekkelijk voor privacybewuste gebruikers, maar het brengt aanzienlijke risico’s met zich mee voor zowel het platform als zijn gebruikers in het geval van een hack, omdat onderzoekers beperkte informatie hebben om mee te werken.
Incidenten zoals deze komen minder vaak voor dan vroeger. Een recent rapport van blockchain forensisch bedrijf Chainalysis benadrukte een significante afname in fondsen die gestolen worden van cryptocurrency platforms in 2023. Ondanks een lichte toename in individuele hackingincidenten, daalde de totale waarde van gestolen fondsen met ongeveer 54,3% tot $ 1,7 miljard, grotendeels toegeschreven aan een scherpe daling in DeFi hacks.
FixedFloat meldde dat ze samenwerken met wetshandhavingsinstanties, blockchain forensische bedrijven en cryptocurrency beurzen om de hackers op te sporen, die nog geen contact hebben opgenomen met de exchange. Het bedrijf zei dat het al zijn betalingsverplichtingen zal nakomen zodra het de activiteiten hervat en er zeker van kan zijn dat de exchange weer veilig is om te gebruiken.
