L'hack del validator di Solana espone cinque operatori e provoca il furto di $135.000 in criptovalute, riciclati tramite Tornado Cash

Violazione della Sicurezza di Solana

Una violazione della sicurezza coordinata di Solana ha compromesso le credenziali associate a cinque validator, consentendo a un attaccante di rubare circa $135.000 in criptovaluta prima di trasferire i proventi attraverso le blockchain in Tornado Cash.

Dettagli dell'Attacco

Secondo un'indagine di Bitquery del 29 ottobre, l'attaccante controllava le chiavi operative collegate a Solflare, Blockdaemon, Astraeus, un validator non identificato e un validator inattivo di Slow Ventures. L'incidente è avvenuto tra il 26 e il 27 ottobre, con gli investigatori che hanno rintracciato 1.343 SOL di beni rubati e 57 ETH depositati in Tornado Cash.

A differenza del precedente compromesso di staking di $41 milioni di SwissBorg, l'ultimo attacco non ha svuotato i SOL delegati dai clienti. Bitquery ha scoperto che quattro validator attivi hanno trasferito circa 1.188 SOL di beni in un wallet controllato dall'attaccante in meno di tre minuti.

Impatto sull'Ecosistema dei Validator

La criptovaluta rubata includeva 637 token JitoSOL, valutati a circa 833 SOL, che rappresentano la maggior parte delle perdite. L'attaccante ha successivamente svuotato i conti di voto dei validator, impedendo agli operatori colpiti di pagare le commissioni di partecipazione richieste. Quattro validator hanno smesso di votare simultaneamente il 27 ottobre, interrompendo le ricompense di staking fino a quando gli utenti colpiti non sono stati in grado di spostare il loro stake.

Questa interruzione evidenzia ulteriori vulnerabilità operative nell'ecosistema dei validator di Solana, dove la consolidazione degli operatori ha già sollevato preoccupazioni sulla decentralizzazione. Tuttavia, Bitquery non ha trovato prove che i wallet dell'attaccante abbiano ricevuto fondi direttamente dai conti di stake dei clienti.

Metodi di Riciclaggio

Dopo i prelievi iniziali, l'attaccante ha convertito JitoSOL in SOL prima di trasferire i fondi su Ethereum tramite Bridgers e Chainflip. Bitquery ha rintracciato circa 56,6 ETH in un wallet di ricezione, con i primi depositi in Tornado Cash che si sono verificati meno di nove minuti dopo il pagamento iniziale del bridge. Entro il 28 ottobre, gli investigatori hanno identificato 57 ETH depositati nel protocollo di privacy.

I trasferimenti somigliano a precedenti operazioni di riciclaggio di criptovalute che coinvolgono Tornado Cash, dove gli attaccanti spostano beni attraverso le reti per complicare il tracciamento. Un modello simile di cross-chain è apparso durante la violazione dell'exchange CoinDCX, sebbene non ci siano prove che colleghino i due incidenti.

Conclusioni e Riflessioni

"L'aggiornamento forense di Blockdaemon del 30 ottobre ha identificato credenziali storiche generate tra il 2020 e il 2022 come fonte della sua esposizione."

Blockdaemon ha dichiarato che il materiale chiave colpito proveniva da una copia locale su un dispositivo aziendale di un ex dipendente, senza prove di intrusione nella sua attuale infrastruttura di validator. I risultati distinguono la violazione da exploit di autorizzazione del wallet che prendono di mira singoli utenti di Solana.

Blockdaemon ha sottolineato che gli asset delegati sono rimasti sicuri, sebbene i validator colpiti richiedano sostituzione per ripristinare le ricompense. L'incidente rafforza anche le preoccupazioni sollevate da precedenti compromessi dei wallet di tesoreria di Solana, dove la sicurezza delle credenziali operative si è rivelata critica.