แอปพลิเคชั่นกระจายอำนาจ FixFloat ถูกแฮ็กมูลค่า 26 ล้านดอลลาร์

เมื่อไม่กี่วันที่ผ่านมา แอปพลิเคชัน FixFloat ที่ไม่ใช่ KYC แบบกระจายอำนาจ ประสบปัญหาการโจมตีแบบแฮ็กบนโครงสร้างพื้นฐาน ส่งผลให้สูญเสียเงิน 26 ล้านดอลลาร์

จากข้อมูลของบริษัทตรวจสอบและวิเคราะห์บล็อคเชน PeckShield พบว่ามีการขโมย ETH จำนวน 1728 ETH และ 409 BTC จากนั้นเงินบางส่วนก็ถูกฟอกโดยการส่งผ่านเครื่องผสมแบบกระจายอำนาจและธุรกรรม coinjoin

FixFloat ระบุว่าเงินทุนของผู้ใช้ปลอดภัย และการแฮ็กไม่ได้กระทบต่อเสถียรภาพทางการเงินของแอปพลิเคชันแลกเปลี่ยน crypto

รายละเอียดทั้งหมดด้านล่าง

ช่องโหว่ในโครงสร้างของ FixFloat: แอปพลิเคชันแบบกระจายอำนาจถูกแฮ็ก BTC และ ETH มูลค่า 26 ล้านดอลลาร์

ในวันเสาร์ที่ 17 กุมภาพันธ์ แอปพลิเคชันแลกเปลี่ยนสกุลเงินดิจิทัลแบบกระจายอำนาจ FixFloat ตกเป็นเหยื่อของการแฮ็กที่ทำให้เกิด ขาดทุน 26 ล้านดอลลาร์ใน BTC และ ETH.

ทุกอย่างเริ่มต้นเมื่อผู้ใช้หลายรายรายงานว่าประสบปัญหาธุรกรรมที่ถูกระงับและเงินในบัญชีหายไป หลังจากนั้นไม่นาน ก็มีการค้นพบผ่านการวิเคราะห์ออนไลน์ว่า เงินหลายล้านดอลลาร์ถูกระบายไปยังกระเป๋าเงินภายนอกที่ไม่รู้จักหลายแห่ง

แม้จะยังไม่ชัดเจนว่าการโจมตีเกิดขึ้นได้อย่างไร แต่ทีมงาน FixFloat ก็ได้อธิบายทันทีว่าเป็น “ปัญหาทางเทคนิคเล็กน้อย” ณ เวลาที่เกิดเหตุ

เดียวกันได้ประกาศว่าเงินจะถูกคืนให้กับผู้ใช้แพลตฟอร์ม และการแฮ็กไม่ได้กระทบต่อความมั่นคงทางการเงินของบริษัท

อย่างไรก็ตามในขณะที่เขียนบทความ แอปพลิเคชันแบบกระจายอำนาจยังคงไม่ทำงานและอยู่ในโหมดการบำรุงรักษาแต่จะเปิดอีกครั้งในอนาคตที่ไม่ระบุรายละเอียดทันทีที่มั่นใจว่าปลอดภัยในการใช้งาน

นี่คือสิ่งที่รายงานบน X โดย Fix FixedFloat หลังจากการแฮ็ก:

การแลกเปลี่ยนแบบกระจายอำนาจเป็นที่รู้จักสำหรับบริการที่ไม่ใช่ KYC ซึ่งไม่จำเป็นต้องลงทะเบียนภายใต้ขั้นตอน "รู้จักลูกค้าของคุณ" แบบคลาสสิก ทำให้ได้เปรียบในการแข่งขันในแง่ของความเป็นส่วนตัว

ด้วยการเสนอความเป็นไปได้ในการไม่เปิดเผยตัวตนและอนุญาตให้ทำธุรกรรมใน Bitcoin ผ่าน Lightning Network ให้กับลูกค้า FixFloat ได้ดึงดูดผู้ใช้จำนวนมากจากสหรัฐอเมริกา

ส่วนหนึ่ง ลักษณะของการไม่เปิดเผยตัวตนและการขาดการควบคุมภายในสนับสนุนการโจมตีของแฮ็กเกอร์ที่เป็นอันตราย ซึ่งไม่จำเป็นต้องให้ข้อมูลส่วนบุคคลเพื่อเข้าถึงแอปพลิเคชัน

ตามข้อมูลจากบริษัทวิเคราะห์ความปลอดภัยทางไซเบอร์และบล็อกเชน PeckShieldการโจรกรรมมีจำนวน 1728 ETH มูลค่า 4.85 ล้านดอลลาร์ และ 409 BTC มูลค่าเกือบ 21 ล้านดอลลาร์

อีเทอร์ส่วนใหญ่จากการแฮ็กได้ถูกโอนไปยังการแลกเปลี่ยนแบบกระจายอำนาจที่หลากหลายบน Ethereum blockchain แล้ว

FixFloat ได้รายงานว่าพวกเขากำลังทำงานร่วมกับหน่วยงานบังคับใช้กฎหมาย บริษัทนิติวิทยาศาสตร์บล็อคเชน และการแลกเปลี่ยนสกุลเงินดิจิทัล เพื่อติดตามแฮกเกอร์ที่ยังไม่ได้ติดต่อกับการแลกเปลี่ยน 

บริษัทระบุว่าจะปฏิบัติตามภาระผูกพันในการชำระเงินทั้งหมด ทันทีที่กลับมาดำเนินการอีกครั้งและมั่นใจว่าการแลกเปลี่ยนจะปลอดภัยต่อการใช้งานอีกครั้ง

ส่วนหนึ่งของ BTC ที่ถูกขโมยจากการแฮ็กนั้นถูกรีไซเคิลผ่านการดำเนินการ coinjoin

ในขณะที่ ETH ที่ถูกขโมยจากการแฮ็กของแอปพลิเคชันกระจายอำนาจ FixFloat ได้ถูกย้ายไปยังที่อยู่ที่แตกต่างกันหลายสิบแห่งอย่างง่ายดายและหมุนเวียนผ่านบล็อกเชน Ethereum BTC ที่เป็นส่วนหนึ่งของการปล้นเดียวกันกำลังจะถูกรีไซเคิล ด้วยการทำธุรกรรม coinjoin

เราขอเตือนคุณว่า coinjoin เป็นรูปแบบหนึ่งของการดำเนินการ Bitcoin ซึ่งคิดทฤษฎีเป็นครั้งแรกโดย Gregory Maxwell ในปี 2013 ซึ่ง การชำระเงิน BTC หลายรายการจะรวมกันเป็นธุรกรรมเดียวทำให้ยากต่อการระบุว่าที่อยู่ใดใช้เงินไปจำนวนเท่าใด

เช่นเดียวกับสิ่งที่เกิดขึ้นกับเครื่องผสมแบบกระจายอำนาจเช่น Tornado Cash ธุรกรรม coinjoin จะถูกรวมเข้าด้วยกันเพื่อทำธุรกรรมเดียวในกลุ่มร่วม ซึ่งผู้ฝากเงินสามารถขอคืนได้ “รวมกลุ่ม” และกองทุนนิรนาม

ในกรณีของเรา แฮ็กเกอร์ใช้ประโยชน์จากเครื่องผสมชนิดหนึ่งที่ใช้วิธีการเพิ่มความเป็นส่วนตัวคล้ายกับ coinjoin ซึ่งมีการแลกเปลี่ยน BTC หลายรายการแล้ว

โดยเฉพาะอย่างยิ่ง เราสามารถยืนยันได้ว่าตามที่นักวิจัย web3 บน X อธิบายไว้ ซึ่งเป็นส่วนหนึ่งของเงินที่ถูกขโมย หรือพูดให้ชัดเจนคือ 2.7544 BTC ได้ไหลเข้าสู่ที่อยู่แล้ว

34F2Jjmzo4N3kz3zVVBbqr3nn6NkvQvNjA ซึ่งเป็นของ CEX TradeOgre

เงินจำนวนนี้อาจเป็นตัวแทนของค่าคอมมิชชั่นที่จ่ายโดยผู้ประสงค์ร้ายเพื่อใช้มิกเซอร์ซึ่ง ดูเหมือนว่า เพื่อเชื่อมโยงกับแอปพลิเคชัน Whirpool ที่ใช้ระบบความเป็นส่วนตัวขั้นสูง

เชื่อกันว่า 166 จาก 409 BTC ที่ถูกขโมยจากแอปพลิเคชั่นกระจายอำนาจ FixFloat ได้ผ่านเครื่องผสม Whirpool แล้ว

เหตุการณ์เช่นนี้เป็นเรื่องปกติในสภาพแวดล้อมการเข้ารหัส โดยเฉพาะอย่างยิ่งในสภาพแวดล้อมที่ไม่ใช่ KYC ซึ่งจะปกป้องการเปิดเผยตัวตนของแฮกเกอร์

ตามข้อมูลจากบริษัทวิจัยทางนิติวิทยาศาสตร์ออนไลน์ Chainalysis แม้ว่าจะมีเหตุการณ์มากมายที่บันทึกไว้ในปี 2023 ก็ตาม การแฮ็กและการหาประโยชน์ลดลงเมื่อเทียบกับปีที่แล้วเมื่อมีขโมยเกิดขึ้นมากมาย

โดยรวมแล้ว มูลค่าของกองทุนที่ถูกแฮ็กลดลงประมาณ 54.3% เมื่อเทียบกับปี 2022 โดยมีมูลค่าที่ถูกขโมยทั้งหมดประมาณ 1.7 พันล้านดอลลาร์ ซึ่งส่วนใหญ่มาจากการแฮ็กแอปพลิเคชัน DeFi