Solana-Validator-Hack: Fünf Betreiber betroffen, $135.000 in Krypto über Tornado Cash gewaschen

Koordinierter Sicherheitsvorfall bei Solana

Ein koordinierter Sicherheitsvorfall bei Solana hat die Zugangsdaten von fünf Validatoren kompromittiert, was es einem Angreifer ermöglichte, etwa 135.000 US-Dollar in Kryptowährung zu stehlen, bevor er die Erlöse über Blockchains in Tornado Cash transferierte.

Details des Vorfalls

Laut einer Untersuchung von Bitquery vom 29. Oktober kontrollierte der Angreifer betriebliche Schlüssel, die mit Solflare, Blockdaemon, Astraeus, einem nicht identifizierten Validator und einem inaktiven Validator von Slow Ventures verbunden waren. Der Vorfall ereignete sich zwischen dem 26. und 27. Oktober, wobei die Ermittler 1.343 SOL an gestohlenen Vermögenswerten und 57 ETH, die in Tornado Cash eingezahlt wurden, zurückverfolgten.

Im Gegensatz zu einem früheren Kompromiss von 41 Millionen US-Dollar bei SwissBorg, bei dem die delegierten SOL der Kunden abgezogen wurden, entleerte der letzte Angriff nicht die delegierten SOL der Kunden. Bitquery stellte fest, dass vier aktive Validatoren innerhalb von drei Minuten etwa 1.188 SOL an Vermögenswerten in eine vom Angreifer kontrollierte Wallet transferierten.

Gestohlene Vermögenswerte und Auswirkungen

Die gestohlene Kryptowährung umfasste 637 JitoSOL-Token, die etwa 833 SOL wert waren und den Großteil der Verluste ausmachten. Der Angreifer leerte anschließend die Abstimmungskonten der Validatoren, wodurch betroffene Betreiber daran gehindert wurden, die erforderlichen Teilnahmegebühren zu zahlen. Vier Validatoren hörten am 27. Oktober gleichzeitig mit dem Abstimmen auf, was die Staking-Belohnungen unterbrach, bis betroffene Nutzer ihren Einsatz verschieben konnten.

„Diese Störung hebt zusätzliche operationale Schwachstellen im Validator-Ökosystem von Solana hervor, wo die Konsolidierung der Betreiber bereits Bedenken hinsichtlich der Dezentralisierung aufgeworfen hat.“

Bitquery fand jedoch keine Hinweise darauf, dass die Wallets des Angreifers Gelder direkt von den Einsatzkonten der Kunden erhalten hatten. Nach den ersten Abhebungen konvertierte der Angreifer JitoSOL in SOL, bevor er die Gelder über Bridgers und Chainflip nach Ethereum übertrug.

Nachverfolgung der Gelder

Bitquery verfolgte etwa 56,6 ETH in eine empfangende Wallet, wobei die ersten Einzahlungen in Tornado Cash weniger als neun Minuten nach der ersten Brücken-Auszahlung stattfanden. Bis zum 28. Oktober identifizierten die Ermittler 57 ETH, die in das Datenschutzprotokoll eingezahlt wurden. Die Überweisungen ähneln früheren Geldwäscheoperationen mit Kryptowährungen, die Tornado Cash involvierten, bei denen Angreifer Vermögenswerte über Netzwerke bewegen, um die Rückverfolgbarkeit zu erschweren.

Ein ähnliches Muster über mehrere Chains trat während des CoinDCX-Börsenvorfalls auf, obwohl keine Beweise die beiden Vorfälle verbinden. Die Ermittler beobachteten auch, dass der Angreifer innerhalb von fünf Sekunden automatisch eine 1 SOL-Wiederherstellungsanzahlung abhob.

Ursache und Reaktion

Das forensische Update von Blockdaemon vom 30. Oktober identifizierte historische Zugangsdaten, die zwischen 2020 und 2022 generiert wurden, als Quelle seiner Exposition. Das Unternehmen gab an, dass das betroffene Schlüsselmaterial von einer lokalen Kopie auf dem Unternehmensgerät eines ehemaligen Mitarbeiters stammte, ohne Hinweise auf einen Eindringling in die aktuelle Validator-Infrastruktur.

Die Ergebnisse unterscheiden den Vorfall von Wallet-Berechtigungsangriffen, die sich gegen einzelne Solana-Nutzer richteten. Blockdaemon betonte, dass die delegierten Vermögenswerte sicher blieben, obwohl betroffene Validatoren ersetzt werden mussten, um die Belohnungen wiederherzustellen.

„Der Vorfall verstärkt auch die Bedenken, die durch frühere Kompromisse von Solana-Treasury-Wallets aufgeworfen wurden, bei denen die Sicherheit der betrieblichen Zugangsdaten entscheidend war.“