PeckShield: Phân tích đồ họa và văn bản về vụ trộm tài khoản cá voi lớn, được thực hiện bởi một nhóm hacker chuyên nghiệp và lành nghề

Tiêu đề gốc: "PeckShield: Phân tích đồ họa và văn bản về vụ trộm tài khoản cá voi lớn, được thực hiện bởi một nhóm hacker chuyên nghiệp và lành nghề"

Nguồn gốc: PeckShield

Ẩn mình trong khu rừng đen tối của thế giới blockchain là một nhóm hacker có chuyên môn kỹ thuật xuất sắc, ngoài ra còn có một nhóm những kẻ đầu tiên- những hacker giai đoạn đầu tư vào Bitcoin. Một ông lớn trong giới tiền tệ kiếm được rất nhiều tiền.

Về mặt lý thuyết, nếu ông chủ chỉ tiết lộ địa chỉ trên chuỗi của mình thì dù sức mạnh kỹ thuật của hacker có mạnh đến đâu thì anh ta cũng không thể làm được gì. Nhưng nếu danh tính ngoài chuỗi của ông chủ cũng bị tiết lộ, một vụ trộm đã được lên kế hoạch từ lâu sẽ bắt đầu . khúc dạo đầu

Vào ngày 22 tháng 2, một người dùng tự xưng là “zhoujianfu” đã đăng trên Reddit rằng anh ta đã bị hack và đánh cắp 1.547 BTC và 60.000 BCH, trị giá khoảng 260 triệu nhân dân tệ.

Theo lời khai của nạn nhân, thẻ SIM của anh ta đã bị bẻ khóa và tiền đã bị đánh cắp. Nhóm bảo mật PeckShield tin rằng các cuộc tấn công thẻ SIM bỏ qua các biện pháp bảo mật của nhà điều hành và sao chép hoặc cấp lại thẻ SIM của nạn nhân, từ đó đạt được mục đích kiểm soát thẻ SIM bị đánh cắp. Khi bạn giành được quyền kiểm soát số điện thoại di động của người bị đánh cắp, bạn có thể có được hầu hết các quyền tài khoản của người bị đánh cắp thông qua cơ chế xác minh mã xác minh SMS, cơ chế này cũng bao gồm phần lớn tài khoản tiền điện tử của người bị đánh cắp.

Khóa mục tiêu

ID Twitter của người này là zhoujianfu The Danh tính của người dùng nhanh chóng được xác định là Josh Jones sau khi tuyên bố đã bị đánh cắp. Anh ta có danh tính rất nổi bật. Anh ta từng là chủ nợ lớn thứ hai của sàn giao dịch lớn nhất Mt. Gox và Mentougou sở hữu 43.768 Bitcoin.

Hầu như ngay sau bài đăng trên Reddit của anh ta, mọi người đều biết danh tính thực sự của anh ta. Có thể thấy, ông chủ này không hề giấu giếm trong thế giới mạng. Chắc hẳn ai cũng biết rằng ông ta sở hữu một lượng lớn cổ phiếu. tiền điện tử, chưa kể kỹ năng vượt trội của anh ta đối với các hacker.

Do đó, tin tặc có thể đã nhắm mục tiêu vào anh ta.

Xóa bỏ hình ảnh và văn bản: tài sản bị đánh cắp từ tài khoản cá voi khổng lồ đã đi đâu

Vụ trộm 1.547 BTC là vụ hack cá nhân lớn nhất trong những năm gần đây.

Theo nạn nhân, địa chỉ chuỗi BTC của anh ta là 1Edu4yBtfAKwGGsQSa45euTSAG6A2Zbone.

Hệ thống theo dõi tài sản kỹ thuật số trực quan của nhóm bảo mật PeckShield CoinHolmes bao gồm hàng chục sàn giao dịch và hơn 60 triệu nhãn địa chỉ, liên quan đến nhiều loại tài sản kỹ thuật số chính thống như BTC, ETH, EOS, USDT, v.v.

Theo địa chỉ được cung cấp bởi nạn nhân, CoinHolmes đã nhanh chóng xác định các địa chỉ liên quan của hacker, tiến hành theo dõi và phân tích định hướng, và cuối cùng đã vẽ ra một bức tranh toàn cảnh về việc chuyển đường dẫn bằng hình ảnh:

Như trong hình, phương thức chuyển tiền trên chuỗi của hacker rất phức tạp. Nó chuyên nghiệp và phức tạp đến mức sau khi được tạo bằng các công cụ trực quan, nó không còn có các lớp và bối cảnh rõ ràng nữa. Bản thân Bitcoin có một hệ thống UTXO phức tạp, dựa trên đó, tin tặc đã sử dụng một số lượng lớn tài khoản để phân tán và chuyển tiền, thậm chí còn kích hoạt một hệ thống gây nhầm lẫn.

Hoạt động ác liệt như hổ, hacker như chạy vào rừng rậm tối tăm.

Quỹ được chuyển phân tán và chia thành số lượng nhỏ

Bằng cách theo dõi và phân tích tài sản BTC bị đánh cắp từ tài khoản cá voi, nhân viên an ninh của PeckShield đã phát hiện ra rằng sau khi tin tặc đánh cắp 1.547 BTC, chúng đã nhanh chóng cắt và phân tán số tiền và thực hiện chia nhỏ số tiền. Mục đích của hacker là lợi dụng sự phức tạp của hệ thống thay đổi UTXO của Bitcoin để phân tán tài khoản và tiền với số lượng lớn, do đó làm tăng độ khó và chi phí thời gian theo dõi.

Các hacker đã phân tán số tiền đến bảy địa chỉ chính trong một khoảng thời gian ngắn. Số tiền tại mỗi địa chỉ như sau:

Lấy địa chỉ bắt đầu với bc1qre5 làm ví dụ, PeckShield đã sử dụng nền tảng theo dõi trực quan hóa tài sản kỹ thuật số CoinHolmes để vẽ sơ đồ chuyển dòng tài sản của mình. Từ hình bên dưới, chúng ta có thể thấy rằng số tiền trên địa chỉ bị cắt trong mỗi giao dịch và địa chỉ có số tiền lớn số tiền được chuyển sẽ tiếp tục giảm theo hướng chuyển tiếp.

Tiền trộn lẫn với các giao dịch khác

Qua phân tích 1.547 BTC bị tin tặc đánh cắp trong thời gian ngắn và chia thành số lượng nhỏ, chúng ta có thể thấy được tính chuyên nghiệp và phức tạp của tin tặc ' rửa tiền. Nhưng sau khi hoàn thành hoạt động phi tập trung này, tin tặc đang cố gắng làm cho việc theo dõi tài sản trở nên cực kỳ khó khăn thông qua các hệ thống che giấu phức tạp hơn.

Nhân viên bảo mật của PeckShield đã theo dõi và phân tích và phát hiện ra rằng tin tặc cũng trộn lẫn UTXO từ các giao dịch khác trong quá trình chuyển tiền để làm xáo trộn. Lấy địa chỉ bắt đầu bằng bc1qre5 được phân tích ở trên làm ví dụ , như được hiển thị trong hình màu đỏ bên dưới. Số tiền giao dịch được đánh dấu trong hộp không được bao gồm trong số tiền 1.547 BTC bị đánh cắp lần này. Đồng thời, các giao dịch bắt đầu bằng 6ef39b không chỉ chứa số tiền bắt đầu bằng địa chỉ bắt đầu bằng bc1qre, mà còn được trộn lẫn với các UTXO khác.

Trộn bitcoin không phải là một khái niệm mới. Nó bắt nguồn từ web đen, nơi tin tặc hoặc tội phạm trộn BTC mà chúng thu được. Để tránh bị theo dõi .

Cụ thể, trộn tiền tệ là bao gồm một số lượng lớn đầu vào và đầu ra trong một giao dịch, gây nhầm lẫn thông tin giao dịch và khiến việc tìm ra mối tương quan giữa đầu vào và đầu ra trở nên khó khăn hơn. Mặc dù bản thân địa chỉ Bitcoin là ẩn danh nhưng dữ liệu giao dịch có liên quan hoàn toàn công khai và minh bạch. Thông qua liên kết địa chỉ giao dịch và phân tích dữ liệu, có thể theo dõi trên chuỗi và khóa danh tính đằng sau địa chỉ.

Vì vậy, để tránh bị theo dõi và giám sát, tin tặc thường trộn số Bitcoin bị đánh cắp.

Một phần tiền đã chảy vào sàn giao dịch

Thống kê của nhân viên bảo mật PeckShield cho thấy chỉ trong 4 ngày kể từ khi xảy ra vụ việc từ 22/2 đến 26/2, hacker đã sử dụng hàng trăm địa chỉ để chuyển tiền, với mức độ sâu nhất lên tới 20 tầng. Trong quá trình chia và chuyển quỹ, một lượng tiền nhỏ đã chảy vào sàn giao dịch.

Dựa vào các thẻ địa chỉ khổng lồ được theo dõi trên chuỗi CoinHolmes và cập nhật thuật toán học máy theo thời gian thực, chúng tôi có thể phân tích chính xác và theo thời gian thực ngay cả những địa chỉ mới được tạo bởi các sàn giao dịch. Theo thống kê của PeckShield, 11,19 BTC đã chảy vào địa chỉ trao đổi Bittrex bắt đầu bằng 1LZVz7 thông qua nhiều giao dịch.

Sơ đồ đường dẫn quan trọng chảy vào sàn giao dịch Bittrex được hiển thị trong hình trên. Như đã đề cập ở trên, hacker đã áp dụng phương pháp trộn tiền trước khi chảy vào sàn giao dịch Do đó, nhân viên an ninh của PeckShield đánh giá rằng một số tiền mà tin tặc có thể không chuyển trực tiếp sang sàn giao dịch mà đã được rửa thông qua các phương thức như OTC không cần kê đơn.

Ngoài một số tiền chảy vào sàn giao dịch, hầu hết số tiền bị đánh cắp cho đến nay vẫn nằm trong địa chỉ của hacker và PeckShield cũng đang theo dõi các chuyển động tiếp theo của các quỹ mục tiêu.

Kết luận

PeckShield có lý do để tin rằng hacker lần này phải là một nhóm hacker chuyên nghiệp và có kỹ thuật tốt.

Băng nhóm này thực sự đã nỗ lực rất nhiều từ việc lựa chọn mục tiêu cho đến theo dõi lâu dài và đột phá trong và ngoài chuỗi. Đây dường như là lời nhắc nhở đối với một số ông lớn đã đầu tư vào tiền điện tử trong giai đoạn đầu và kiếm được lợi nhuận khổng lồ. Đừng kiếm tiền một cách mù quáng, vì có người luôn theo dõi bạn.

Mặc dù hệ thống khóa riêng mã hóa bất đối xứng đã ban phước cho các tài khoản cá nhân và là một dự án phòng thủ trên chuỗi gần như không thể bị phá vỡ với sức mạnh tính toán của máy tính hiện tại, nhưng việc quản lý khóa riêng tư cá nhân thực sự là một hành vi ngoài chuỗi. Tin tặc có thể sử dụng người dùng để truy cập một số thông tin cũ trên Internet Để vượt qua những thói quen thô bạo, cuộc tấn công thẻ SIM này là một trong số đó.

Như người ta thường nói, "Don Tôi không sợ kẻ trộm, tôi sợ kẻ trộm nhớ mình."

Nếu một hacker chỉ biết địa chỉ trên chuỗi, thì sẽ phải mất nhiều lần tái sinh và hàng trăm triệu năm để cố gắng bẻ khóa khóa riêng của người dùng. Khi địa chỉ trên chuỗi của người dùng và danh tính ngoài chuỗi khớp nhau, thì chắc chắn có hàng chục nghìn cách nữa để tin tặc thực hiện các cuộc tấn công.

Địa chỉ gốc: https://mp.weixin.qq.com/s/iff3_JH20CDU_-UN_o1EvA

Chào mừng bạn tham gia cộng đồng chính thức của BlockBeats:

Nhóm Telegram đăng ký: https://t.me/theblockbeats

Nhóm Telegram thảo luận: https://t.me/BlockBeats_App

Tài khoản Twitter chính thức: https://twitter.com/BlockBeatsAsia