Взлом валидатора Solana: раскрытие пятерых операторов и кража $135,000 в криптовалюте, средства отмываются через Tornado Cash

Взлом безопасности сети Solana

Скоординированный взлом безопасности сети Solana скомпрометировал учетные данные, связанные с пятью валидаторами, что позволило злоумышленнику украсть около $135,000 в криптовалюте, прежде чем переместить средства через блокчейны в Tornado Cash.

Детали инцидента

Согласно расследованию компании Bitquery, проведенному 29 октября, злоумышленник получил доступ к операционным ключам, связанным с валидаторами Solflare, Blockdaemon, Astraeus, а также с неидентифицированным и неактивным валидатором Slow Ventures. Инцидент произошел 26-27 октября.

Следователи проследили 1,343 SOL и 57 ETH, которые были внесены в Tornado Cash.

В отличие от предыдущего компрометации стейкинга SwissBorg на сумму $41 миллиона, последняя атака не привела к потере делегированных SOL клиентов. Bitquery обнаружил, что четыре активных валидатора перевели около 1,188 SOL в кошелек, контролируемый злоумышленником, всего за три минуты.

Кража криптовалюты

Украденная криптовалюта включала 637 токенов JitoSOL, стоимостью примерно 833 SOL, что составило основную часть убытков. Злоумышленник также опустошил счета голосования валидаторов, что помешало затронутым операторам оплатить необходимые сборы за участие.

Четыре валидатора одновременно прекратили голосование 27 октября, что прервало вознаграждения за стейкинг, пока затронутые пользователи не смогли переместить свои ставки.

Операционные уязвимости

Этот инцидент подчеркивает дополнительные операционные уязвимости в экосистеме валидаторов Solana, где консолидация операторов уже вызывает опасения по поводу децентрализации. Однако Bitquery не нашел доказательств того, что кошельки злоумышленника получили средства непосредственно из счетов стейка клиентов.

После первоначальных выводов злоумышленник конвертировал JitoSOL в SOL, прежде чем перевести средства в Ethereum через Bridgers и Chainflip. Bitquery проследил около 56.6 ETH в один получающий кошелек, при этом первые депозиты в Tornado Cash произошли менее чем через девять минут после первоначального вывода через мост.

Форенсическое расследование

К 28 октября следователи идентифицировали 57 ETH, внесенных в протокол конфиденциальности. Переводы напоминают предыдущие операции по отмыванию криптовалюты с использованием Tornado Cash, где злоумышленники перемещают активы через сети, чтобы усложнить отслеживание.

Похожий межсетевой шаблон наблюдался во время взлома биржи CoinDCX, хотя нет доказательств, связывающих два инцидента.

Следователи также отметили, что злоумышленник автоматически выводил депозит восстановления в 1 SOL в течение пяти секунд. Форенсическое обновление Blockdaemon от 30 октября выявило, что исторические учетные данные, сгенерированные между 2020 и 2022 годами, стали источником уязвимости.

Компания сообщила, что затронутый ключевой материал происходил из локальной копии на корпоративном устройстве бывшего сотрудника, без доказательств вторжения в текущую инфраструктуру валидаторов. Эти выводы отличают данный взлом от эксплойтов разрешений кошельков, нацеленных на отдельных пользователей Solana.

Заключение

Blockdaemon подчеркнул, что делегированные активы остались в безопасности, хотя затронутым валидаторам потребовалась замена для восстановления вознаграждений. Этот инцидент также усиливает опасения, поднятые ранее в связи с компрометацией кошельков казначейства Solana, где безопасность учетных данных оказалась критически важной.