Les hackers de Ronin ont déplacé les fonds

Les hackers responsables de l’attaque du Bridge Ronin en mars dernier ont converti la majorité de leurs actifs en utilisant des mixers. Un travail de recherche des fonds est actuellement en cours mais s’avère complexe en raison de l’utilisation de nombreux mixers et autres protocoles d’anonymisation.

Retour sur le hack de Ronin

Le hack du bridge Ronin est pour l’heure l’un des plus gros jamais réalisé dans l’écosystème crypto. Pour rappel, les hackers ont dérobés pas moins de 622 millions de dollars principalement en Ether et USDC via un bridge sur la blockchain Ronin. Cette sidechain d’Ethereum héberge notamment l’un des play to earn les plus populaires du secteur : Axie Infinity.

Pour réussir son coup, 5 des nœuds validateurs de Ronin avaient été touchés et permis aux pirates de dérober près de 173 600 ETH et 25,5 millions d’USDC. Cette attaque avait entrainé la suspension du bridge de Ronin pour éviter tout vol supplémentaires. Ronin avait alors contacté Chainalysis pour observer le mouvement des fonds. Cette attaque avait entrainé une chute conséquente du tokens RON mais aussi du AXS dans la foulée.

Le hack du bridge Ronin s’ajoute à une année 2022 particulièrement riche en attaques en tous genres. Récemment, le wallet Phantom de Solana a connu un vol important, de même que la blockchain Harmony qui a vu plus de 100 millions de dollars disparaitre. 2022 est pour l’heure une année record en matière de fonds dérobées notamment dans le secteur de la finance décentralisée.

Des nouvelles des fonds dérobés

Les hackers ont tout d’abord converti les fonds en ETH et USDC en BTC via renBTC et des outils de protection de la vie privée comme Blender et ChipMixer.

Un enquêteur on-chain du nom de liteZero travaillant pour SlowMist, une agence de sécurité blockchain, s’est intéressé au chemin emprunté par les fonds volés. On apprend que la majorité des fonds volés a été transformé en Ether puis déposé sur Tornado Cash, le mixer au cœur de l’actualité ces dernières semaines. Les fonds ont ensuite transité sur le réseau Bitcoin pour être transformé en BTC via le protocole REN.

Selon le rapport, les hackers que l’on pensent membres du groupe nord-coréen Lazarus, n’ont transféré qu’une petite partie des fonds le 28 mars vers des exchanges centralisés. En effet, il ne s’agirait que de 6249 ETH dont 5028 ETH vers Huobi et 1219 vers FTX.

C’est sur ces exchanges que les Ethers ont été transformés en BTC. Les pirates ont ensuite envoyé 439 BTC, soit environ 20,5 millions de dollars, sur le mixeur Blender Bitcoin. Un outil, qui comme Tornado Cash permet de garantir l’anonymat des transactions et a lui aussi été sanctionné par le Trésor Américain au mois de mai dernier.

LiteZero déclare à ce sujet

J’ai trouvé la réponse dans les adresses de sanctions de Blender. La plupart des adresses de sanction de Blender sont des adresses de dépôt de Blender utilisées par les hackers de Ronin. Ils ont déposé tous leurs fonds sur Blender après les avoir retirés des exchanges.

I've been tracking the stolen funds on Ronin Bridge.
I've noticed that Ronin hackers have transferred all of their funds to the bitcoin network. Most of the funds have been deposited to mixers(ChipMixer, Blender).

This thread🧵 will illustrate the tracking analysis procedures.👇🏻 pic.twitter.com/yrazcJ22xF

— ₿liteZero (@blitezero) August 20, 2022

A la suite de cela, les hackers ont converti environ 113 000 Ethers en renBTC (un wrapped Bitcoin) via les exchanges décentralisés UniSwap et 1inch. Ils ont ensuite utilisé le bridge cross chain décentralisé de Ren pour bouger les actifs du réseau Ethereum vers le réseau Bitcoin en transformant le renBTC en BTC.

Ainsi, la distribution d’environ 6631 BTC a pu démarrer via des exchanges centralisés et décentralisés. Voici la liste des plateformes utilisées et les montants correspondant selon le rapport.

Le rapport de SlowMist mentionne aussi les difficultés à suivre les fonds en raison du nombre important de mouvements effectués et de protocoles utilisés.

Déjà sous le coup de sanctions, ces protocoles comme Tornado Cash ou Blender.io se retrouvent une fois de plus dans l’œil du cyclone. Nous surveillerons avec attention les suites de ces recherches. Ces informations témoignent bien des nombreuses ressources dont disposent les hackers pour dissimuler leurs transactions et faire disparaitre les fonds volés !

Pour en savoir sur le récent hack des ATM Bitcoin, retrouvez notre article ici.