Eksploitasi Keamanan Wintermute senilai $160 juta Bisa Menjadi Pekerjaan Orang Dalam: Laporkan

Pembuat pasar crypto terkemuka, Wintermute, mengalami pelanggaran $ 160 juta dalam operasi keuangan terdesentralisasi minggu lalu. Data on-chain mengungkapkan Dai, USDC, Tether, Wrapped ETH, dan aset lainnya senilai puluhan juta dolar yang ditransfer dari perusahaan ke alamat dompet yang ditandai sebagai “Wintermute Exploiter.”

Sementara perusahaan yang berbasis di Inggris belum mengungkapkan jika penegak hukum diberitahu, ia kemudian menawarkan hadiah 10% kepada peretas atas dana haram dan memperlakukan pelanggaran sebagai acara "topi putih".

Namun, sebuah laporan baru menunjukkan bahwa ini bisa menjadi pekerjaan orang dalam.

Pekerjaan Orang Dalam

Analis James Edwards, alias Librehash, juga dikenal sebagai editor ZeroNoncense, berdebat bahwa peretas tidak mungkin merupakan entitas eksternal acak yang “hanya memulihkan kunci pribadi ke alamat milik eksternal yang tidak aman yang izin adminnya gagal dicabut oleh tim.” Edwards menyatakan bahwa peretasan tampaknya dilakukan oleh pihak internal setelah mengamati interaksi kontrak pintar platform.

“Dengan kata lain, transaksi relevan yang diprakarsai oleh EOA memperjelas bahwa peretas kemungkinan adalah anggota internal tim Wintermute.”

Edwards mempertanyakan transparansi proyek sambil menunjukkan kurangnya unggahan, kode terverifikasi untuk kontrak pintar Wintermute yang bersangkutan, sehingga tidak mungkin bagi komunitas untuk mengonfirmasi bahwa peretas itu bukan internal. Biasanya, kontrak pintar apa pun yang bertanggung jawab atas pengelolaan dana pengguna/pelanggan yang dikerahkan ke blockchain siap untuk verifikasi publik.

Setelah pemeriksaan lebih dalam dan memilah-milah bytecode yang didekompilasi, analis diduga menemukan bahwa kode tersebut tidak cocok dengan apa yang seharusnya dikompromikan.

Edwards juga mencemooh CEO dan pendiri Wintermute, Evgeny Gaevoy, dan menyebut penjelasan eksekutif tersebut sebagai "terburu-buru, tergesa-gesa, dan diterbitkan dengan ceroboh," memberikan kesan bahwa tim tersebut "lega" karena berhasil menghasilkan satu juta dolar. pencurian dengan "sedikit atau tanpa pengawasan."

Transfer ke Dompet yang Disusupi

Transfer 13.48 juta USDT dari alamat kontrak cerdas Wintermute ke kontrak cerdas yang seharusnya dibuat dan dikendalikan oleh peretas Wintermute bersifat kontroversial, menurut Edwards.

Dia menuduh bahwa riwayat transaksi menunjukkan pergerakan jutaan USDT dari dompet panas dari dua bursa yang berbeda – Binance dan Kraken – ke kontrak pintar yang dikompromikan, yang dapat dimulai dari akun pertukaran yang dikendalikan tim.

6d/ Jumlah yang tersapu dalam transaksi 5:03 (EDT) itu juga bukan jumlah yang sepele. Tim seharusnya mendapat pukulan untuk 16M $ USDT dalam sapuan pertama itu.

Mengapa mereka mengirim dana senilai 13 juta lebih ke alamat ini? Tolong jawab kalo bisa @EvgenyGaevoy

—James Edwards (@librehash) September 26, 2022