A Premia Labs sofreu uma exploração de criptomoedas estimada em US$ 464.600 na Arbitrum, com o atacante supostamente movendo os fundos roubados entre blockchains antes de convertê-los em Bitcoin.
Resumo
- A PeckShield relatou que a Premia Labs perdeu aproximadamente US$ 464.600 em uma exploração direcionada aos seus cofres de opções na Arbitrum.
- A Blockaid rastreou o ataque até pools de opções vazios, empréstimos flash e transações que permitiram ao atacante sacar a garantia dos cofres.
- Os ativos roubados supostamente foram movidos da Arbitrum para a Ethereum antes de serem convertidos em Bitcoin por meio da Chainflip e da NEAR Intents.
- Uma análise on-chain independente identificou seis cofres afetados contendo WBTC, WETH, USDC.e e ARB.
- O ataque ocorre após vários incidentes de segurança de criptomoedas envolvendo transferências entre blockchains e serviços de negociação descentralizados.
De acordo com a empresa de segurança de blockchain PeckShield, o atacante transferiu os ativos roubados da Arbitrum para a Ethereum antes de usar a Chainflip e a NEAR Intents para trocá-los por BTC. Seu alerta de segurança de 1º de novembro estimou as perdas em US$ 464.600, equivalente a aproximadamente 131 ETH na avaliação citada nos relatórios iniciais.
O incidente afetou cofres de opções associados à Premia Labs, a empresa de desenvolvimento on-chain por trás da plataforma de derivativos Kyan. Pesquisadores de segurança identificaram uma série de transações que retiraram garantias dos cofres usando pools de negociação recém-criados.
Atacante da Premia Labs drena cofres de opções usando empréstimos flash
A empresa de segurança de blockchain Blockaid sinalizou a exploração pela primeira vez em 1º de novembro, relatando que aproximadamente US$ 400.500 haviam sido drenados em duas transações.
Suas descobertas iniciais descreveram um atacante que criou pools de opções vazios, tomou fundos emprestados por meio de empréstimos flash e comprou opções que fizeram com que a garantia dos cofres ficasse bloqueada dentro desses pools.
O atacante então sacou a garantia como liquidez, permitindo que ativos originalmente mantidos nos cofres da Premia fossem movidos para carteiras controladas pelo atacante.
Empréstimos flash permitem que os usuários tomem criptomoedas emprestadas sem fornecer garantia tradicional, desde que o empréstimo seja reembolsado dentro da mesma transação de blockchain.
Neste caso, as descobertas da Blockaid indicam que os fundos emprestados ajudaram o atacante a executar negociações que redirecionaram ativos dos cofres para pools criados para a operação.
A empresa de segurança alertou que a exploração estava em andamento quando publicou suas primeiras descobertas. Sua estimativa de US$ 400.500, portanto, cobriu as transações identificadas naquele estágio, enquanto a PeckShield subsequentemente relatou o valor maior de US$ 464.600.
Os ativos afetados incluíam 3,64 wrapped Bitcoin, aproximadamente 43,47 wrapped Ethereum, 48.479 USDC.e e 46.215 ARB.
De acordo com os registros de transações, os dois saques principais ocorreram por volta das 03:15 UTC de 1º de novembro, com aproximadamente um segundo de diferença.
As diferentes estimativas de perdas refletem avaliações separadas do incidente e não devem ser tratadas como roubos adicionais.
Fundos roubados da Premia passam pela Chainflip e NEAR Intents
Depois que a garantia deixou os cofres afetados, a PeckShield rastreou os ativos roubados sendo movidos da Arbitrum para a Ethereum.
O atacante supostamente continuou as transferências por meio da Chainflip e da NEAR Intents, dois serviços que suportam trocas de criptomoedas entre diferentes redes de blockchain.
A Chainflip permite que os usuários troquem ativos entre redes suportadas sem depender de uma exchange centralizada convencional. A NEAR Intents coordena transações nas quais os usuários especificam os ativos que desejam receber.
A PeckShield identificou o Bitcoin como o ativo recebido por meio da rota de conversão relatada.
O uso de múltiplos serviços significa que os investigadores devem acompanhar as transações em redes blockchain separadas para estabelecer para onde os ativos roubados foram enviados.
No entanto, as transferências relatadas não estabelecem que qualquer uma das plataformas tenha ajudado o atacante conscientemente. Nenhum dos serviços foi identificado como a origem da vulnerabilidade da Premia.
O incidente da Premia ocorre em meio a uma atenção crescente sobre a lavagem de criptomoedas após o hack da Binance em 29 de outubro.
Como o crypto.news relatou anteriormente, o atacante da Binance moveu ativos roubados por múltiplas redes, enquanto emissores de tokens e investigadores de blockchain trabalhavam para congelar os fundos.
Os investigadores rastrearam alguns desses ativos até serviços descentralizados de empréstimo e troca, onde as transações continuaram após o roubo inicial.
O atacante da Premia usou um método diferente para obter fundos, com a Blockaid identificando manipulação de pool de opções em vez de controles comprometidos da carteira da exchange.
Investigadores de criptomoedas enfrentam outro incidente de segurança entre cadeias
A movimentação de fundos roubados por meio de serviços DeFi tem atraído escrutínio após vários ataques recentes a criptomoedas.
Durante o incidente da Binance, os investigadores identificaram uma carteira controlada pelo atacante que depositou 60 milhões de USDT na Aave antes de tomar emprestado aproximadamente 19.762 ETH embrulhados.
A atividade de empréstimo levou os guardiões de segurança da Aave a introduzir restrições temporárias em vários mercados de empréstimo.
Uma investigação sobre a Aave em 31 de outubro descobriu que o próprio protocolo de empréstimo não havia sido comprometido, embora suas medidas de emergência tenham restringido temporariamente novos depósitos e empréstimos.
A Aave subsequentemente reabriu seus mercados afetados após concluir as verificações de segurança.
Separadamente, a investigação da carteira da Binance identificou transações maliciosas de autorização na Ethereum que permitiram ao atacante redirecionar fundos de uma carteira quente.
Esses incidentes envolveram fraquezas diferentes, mas os investigadores encontraram ativos roubados se movendo entre redes de criptomoedas e protocolos financeiros.
O FBI desde então instou exchanges, operadores de finanças descentralizadas e provedores de serviços de blockchain a bloquear transações ligadas a atacantes identificados na violação da Binance.
A Premia Labs não havia divulgado uma explicação pública detalhada sobre os cofres afetados, acordos de recuperação ou qualquer reembolso planejado no momento dos relatórios de segurança iniciais.
