Неизвестный криптохакер спокойно отмывает Ethereum со скомпрометированного кошелька после взлома на $27 млн

До сих пор не разоблаченный хакер, контролирующий скомпрометированный мультиподписной Ethereum-кошелек, продолжает беззаботно выводить украденные деньги. Он снова вывел еще 1 000 ETH из протокола децентрализованного кредитования Aave и отмыл эти средства через Tornado Cash.

Об этом сообщает компания по блокчейн-безопасности PeckShield. Общий объем средств, пропущенных через Tornado Cash, вырос до 6 300 ETH — примерно $19,4 млн. Инцидент берет начало с компрометации приватных ключей, о которой впервые публично сообщили в середине декабря. Нападающий все еще контролирует леверидж-лонг позицию в ETH на Aave, связанную со взломанным мультисиг-кошельком.

По данным PeckShield, хакер, захвативший контроль над скомпрометированным мультиподписным кошельком, вывел дополнительные 1 000 ETH из Aave и отмыл их через Tornado Cash, доведя общий объем средств, направленных в миксер конфиденциальности, до 6 300 ETH. Последний вывод произошел с открытой позиции на Aave, где злоумышленник продолжает контролировать леверидж-лонг в ETH. Во вторник PeckShield сообщила в X, что общая сумма отмытого эфира с этого кошелька составляет около $19,4 млн. Это часть более широкого эксплойта, в результате которого в декабре были похищены активы примерно на $27,3 млн после компрометации приватных ключей мультисиг-кошелька.

Скомпрометированный кошелек — это мультиподписной адрес Gnosis Safe, идентифицированный как «0x1fC…d23Ac». Он не имеет отношения к самому Aave и, вероятно, принадлежит частному «киту». Блокчейн-данные, на которые ссылается PeckShield, свидетельствуют, что нападающий до сих пор удерживает леверидж-лонг позицию на $9,75 млн: примерно $20,5 млн в ETH предоставлено в качестве обеспечения против около $10,7 млн заимствованных у DAI. Позиция остается платежеспособной, но становится все более уязвимой в случае изменения рыночных условий.

PeckShield впервые публично сообщила об инциденте 18 декабря. На тот момент около 4 100 ETH уже было пропущено через Tornado Cash, а хакер сохранял контроль над кошельком и открытой позицией на Aave. Инструменты конфиденциальности вроде Tornado Cash часто являются используются во время криптоэксплойтов для разрыва ончейн-цепочек транзакций и усложнения процесса возврата средств.

Вместо немедленного закрытия позиции злоумышленник постепенно ее разматывает: поэтапно выводит обеспечение и отмывает деньги, оставляя долг открытым, чтобы избежать ликвидации. Такой подход выглядит как тактика «медленного слива», направленная на максимизацию изъятия средств при минимальном риске принудительной ликвидации в DeFi-протоколах.

Личность пострадавшей стороны не раскрыта, и никакие казначейства протоколов не были связаны с этим кошельком. Активность адреса можно публично отслеживать в Etherscan — он демонстрирует продолжающееся взаимодействие с контрактами Aave и депозиты в Tornado Cash. О широкомасштабных попытках возврата средств не сообщалось, а долгосрочный результат леверидж-позиции остается неопределенным.

Источник: The Block