Le piratage de validateurs Solana expose cinq opérateurs et entraîne le vol de 135 000 $ en cryptomonnaie, avec des fonds blanchis via Tornado Cash

Incident de sécurité sur Solana

Une violation de sécurité coordonnée sur Solana a compromis les identifiants associés à cinq validateurs, permettant à un attaquant de dérober environ 135 000 $ en cryptomonnaie avant de déplacer les fonds à travers les blockchains vers Tornado Cash.

Enquête et détails de l'attaque

Selon une enquête menée par Bitquery le 29 octobre, l'attaquant contrôlait des clés opérationnelles liées à Solflare, Blockdaemon, Astraeus, un validateur non identifié et un validateur inactif de Slow Ventures. L'incident s'est produit entre le 26 et le 27 octobre, les enquêteurs ayant retracé 1 343 SOL de biens volés et 57 ETH déposés dans Tornado Cash.

Contrairement à la précédente compromission de staking de 41 millions de dollars de SwissBorg, cette dernière attaque n'a pas drainé les SOL délégués des clients. Bitquery a découvert que quatre validateurs actifs avaient transféré environ 1 188 SOL de biens dans un portefeuille contrôlé par l'attaquant en moins de trois minutes.

La cryptomonnaie volée comprenait 637 jetons JitoSOL, d'une valeur d'environ 833 SOL, représentant la majeure partie des pertes. L'attaquant a ensuite vidé les comptes de vote des validateurs, empêchant les opérateurs affectés de payer les frais de participation requis.

Conséquences et vulnérabilités

Quatre validateurs ont cessé de voter simultanément le 27 octobre, interrompant les récompenses de staking jusqu'à ce que les utilisateurs concernés puissent déplacer leur mise. Cette perturbation met en évidence des vulnérabilités opérationnelles supplémentaires dans l'écosystème des validateurs de Solana, où la consolidation des opérateurs a déjà soulevé des préoccupations en matière de décentralisation.

Cependant, Bitquery n'a trouvé aucune preuve que les portefeuilles de l'attaquant aient reçu des fonds directement des comptes de mise des clients. Suite aux premiers retraits, l'attaquant a converti JitoSOL en SOL avant de transférer des fonds vers Ethereum via des ponts et Chainflip.

Bitquery a retracé environ 56,6 ETH dans un portefeuille récepteur, les premiers dépôts dans Tornado Cash ayant eu lieu moins de neuf minutes après le premier paiement de pont. D'ici le 28 octobre, les enquêteurs avaient identifié 57 ETH déposés dans le protocole de confidentialité.

Les transferts ressemblent à des opérations de blanchiment de cryptomonnaie précédentes impliquant Tornado Cash, où les attaquants déplacent des actifs à travers des réseaux pour compliquer le traçage.

Un schéma similaire de cross-chain est apparu lors de la violation de l'échange CoinDCX, bien qu'aucune preuve ne relie les deux incidents. Les enquêteurs ont également observé que l'attaquant retirait automatiquement un dépôt de récupération de 1 SOL en cinq secondes.

Réponse de Blockdaemon

La mise à jour judiciaire de Blockdaemon du 30 octobre a identifié des identifiants historiques générés entre 2020 et 2022 comme source de son exposition. La société a déclaré que le matériel clé affecté provenait d'une copie locale sur l'appareil d'un ancien employé, sans preuve d'intrusion dans son infrastructure de validateurs actuelle.

Ses conclusions distinguent la violation des exploits de permission de portefeuille ciblant des utilisateurs individuels de Solana. Blockdaemon a souligné que les actifs délégués restaient sécurisés, bien que les validateurs affectés nécessitent un remplacement pour restaurer les récompenses.

Cet incident renforce également les préoccupations soulevées par les précédentes compromissions de portefeuilles de trésorerie de Solana, où la sécurité des identifiants opérationnels s'est révélée critique.