FixedFloat – giełda kryptowalut, która działa bez środków przeciwdziałania praniu pieniędzy (AML) „poznaj swojego klienta” (KYC) – została zhakowana na początku tego miesiąca, co spowodowało utratę ponad 400 bitcoinów i ponad 1700 ethereum o wartości około 26 milionów dolarów.
Firma BlockFence zajmująca się bezpieczeństwem blockchain zidentyfikowała adres Bitcoin wykorzystany w kradzieży, a dane z łańcucha z powiązanego adresu Ethereum ujawniły wiele transakcji o wysokiej wartości na różne adresy.
Według firmy analitycznej PeckShield, skradzione fundusze zostały przeniesione przez mikser Ethereum eXch wkrótce po włamaniu, co skomplikowało identyfikowalność skradzionych aktywów. Niewielka część środków została przeniesiona do HitBTC i CoinSpot, powiedział PeckShield, oznaczając adres portfela jako „FixedFloat drainer.”
PeckShieldAlert FixedFloat został zhakowany, w wyniku czego skradziono ~1 728 $ETH (o wartości ~4,85 mln USD) i & 409 $BTC (o wartości ~21 mln USD). Drener przeniósł już większość skradzionych $ETH do eXch na Ethereum pic.twitter.com/IZKbCclH8v
– PeckShieldAlert (@PeckShieldAlert) 19 lutego 2024
FixedFloat powiedział TCN, że włamanie nie zostało przeprowadzone przez jednego z jego pracowników i że „był to atak zewnętrzny spowodowany lukami w naszej strukturze bezpieczeństwa”.
„Problem tkwił w naszej infrastrukturze, która została naruszona z powodu wad i niewystarczającej ochrony” – powiedziała firma. „Pozwoliło to atakującym uzyskać dostęp do niektórych funkcji naszej usługi”.
Po włamaniu FixedFloat początkowo powoływał się na „drobne problemy techniczne” i przeniósł swoje systemy w „tryb konserwacji”. Było to przed ujawnieniem pełnego zakresu włamania, co doprowadziło do zamieszania i niepokoju wśród użytkowników.
„Nie od razu zgłosiliśmy włamanie, ponieważ byliśmy już świadomi incydentu i natychmiast zaczęliśmy przełączać naszą usługę w tryb konserwacji, aby zapewnić bezpieczeństwo i zminimalizować straty” – powiedziała giełda TCN. „W tym czasie skupiliśmy się głównie na szybkim wyeliminowaniu słabych punktów i wzmocnieniu ogólnego bezpieczeństwa, co uniemożliwiło nam składanie publicznych oświadczeń na temat tego, co się stało”.
W kolejnym oświadczeniu FixedFloat zapewnił klientów, że ich środki są bezpieczne, wyjaśniając, że straty finansowe wpłynęły tylko na samą usługę, a nie na aktywa posiadane przez użytkowników. „FixedFloat nie pełni funkcji usługi powierniczej – to znaczy nie przechowuje środków użytkowników. Więcej informacji podamy później” – napisano na Twitterze.
Jednak gdy doniesienia o włamaniu zaczęły rozprzestrzeniać się w mediach społecznościowych, platforma potwierdziła incydent i otworzyła się na temat ataku.
„Potwierdzamy, że rzeczywiście doszło do włamania i kradzieży środków” – napisało oficjalne konto FixedFloat na Twitterze w odpowiedzi na tweeta. „Nie jesteśmy gotowi do publicznego komentowania tej sprawy, ponieważ pracujemy nad wyeliminowaniem wszystkich możliwych luk, poprawą bezpieczeństwa i zbadaniem sprawy.
„Nasza usługa będzie wkrótce ponownie dostępna”, kontynuował.
Witam,
Potwierdzamy, że rzeczywiście doszło do włamania i kradzieży środków. Nie jesteśmy jeszcze gotowi do publicznego komentowania tej sprawy, ponieważ pracujemy nad wyeliminowaniem wszystkich możliwych luk, poprawą bezpieczeństwa i zbadaniem sprawy. Nasza usługa będzie wkrótce ponownie dostępna.
Będziemy…
– FixedFloat⚡️ (@FixedFloat) 18 lutego 2024
Giełda zapewniła później, że środki użytkowników pozostały bezpieczne, a skradzione środki wpłynęły jedynie na wewnętrzne operacje firmy. Jeśli tak, to prawdopodobnie włamanie nastąpiło z jednego z gorących portfeli giełdy.
Oficjalna strona FixedFloat pozostaje nieaktywna w momencie pisania tego tekstu.
Image: FixedFloat
FixedFloat, który reklamuje się jako „natychmiastowa, w pełni automatyczna giełda kryptowalut z Lightning Network”, przedkłada prywatność nad bezpieczeństwo, działając bez konieczności rejestracji konta lub weryfikacji tożsamości. Ten brak środków KYC jest atrakcyjny dla użytkowników dbających o prywatność, ale stwarza znaczne ryzyko zarówno dla platformy, jak i jej użytkowników w przypadku włamania, ponieważ śledczy mają ograniczone informacje do pracy.
Incydenty takie jak ten są mniej powszechne niż kiedyś. Niedawny raport firmy Chainalysis zajmującej się kryminalistyką blockchain zwrócił uwagę na znaczny spadek środków skradzionych z platform kryptowalutowych w 2023 roku. Pomimo niewielkiego wzrostu liczby indywidualnych incydentów hakerskich, całkowita wartość skradzionych środków spadła o około 54,3% do 1,7 mld USD, co przypisuje się głównie gwałtownemu spadkowi liczby hacków DeFi.
FixedFloat poinformował, że współpracuje z organami ścigania, firmami zajmującymi się kryminalistyką blockchain i giełdami kryptowalut w celu wyśledzenia hakerów, którzy jeszcze nie skontaktowali się z giełdą. Firma oświadczyła, że będzie honorować wszystkie swoje zobowiązania płatnicze, gdy tylko wznowi działalność i będzie mieć pewność, że giełda jest ponownie bezpieczna w użyciu.
