Het is nu ruim één week geleden dat het bericht naar buiten kwam dat Cryptopia slachtoffer is geworden van een hack. In de uren na het lekken van het nieuws was en is tot op bepaalde hoogte nog steeds onduidelijk wat de schade is van deze hack. De bedragen op het internet variëren tussen de 3 en 13 miljoen dollar. De cryptobeurs uit Nieuw-Zeeland heeft ook één week lang geen nieuwe feiten naar buiten gebracht, wat alleen maar heeft geleid tot meer speculatie.
Gestolen tokens
Ook de redactie van Bitcoin Magazine NL kreeg enkele tips binnen wat er met de gestolen tokens gebeurd kan zijn. Met dank aan het uitstekende uitzoekwerk van een lezer hebben we enkele wallets weten te traceren van de beurzen Huobi, Bitfinex en Binance. Het gaat om de volgende adressen:
- Huobi 0xd202F3ED089e6788E911f6382Bf74fe650B28b30: Golem-SIRIN-OmiseGO
- Bitfinex 0x30F255D1FBaa9D1e7139be21196192a82d567c40: MobileGO-Pinakion
- Binance 0x2051dD2BAB0AE6c75dee40546E5fFa196ccC2448: TrueUSD-PowerLedger
- Binance 0xa305FAb8bDA7e1638235b054889B3217441Dd645: OmiseGO
- Binance 0x98e9Ccc744156ED030B77bCa08B23E87f5Ce62e9: KyberNetwork
- Binance 0x99081c8d1E8dC6080F035AcC122201d7b2FA4aF4: KyberNetwork
Onder meer deze walletaddressen worden gebruikt om de gestolen tokens naar ruilbeurzen te sturen. De tokens zijn afkomstig van 0x9007A0421145B06a0345d55a8C0f0327f62A2224, één van de twee hoofdwallets waarvan de hackers gebruik maakten.
Bevroren tegoeden
In de afgelopen dagen verzekerden ruilbeurzen dat zij de gestolen tokens bevroren hebben. Ook hier is onduidelijk welke en hoeveel tokens dan bevroren zijn en wat de status daarvan nu is.
Feit is dat door de hack duizenden cryptobeleggers de dupe zijn geworden. Blockexplorer Elementus.io heeft de taak op zich genomen om alle feiten en cijfers van de hack op een rij te zetten. Zij hebben de ethereum blockchain geheel doorgelicht om alle losse eindjes aan elkaar vast te knopen om uit die brei concrete data te aggregeren en een aantal conclusies te trekken.
Wat is er gebeurd?
Volgens de onderzoekers van Elementus is deze hack anders dan andere hacks. De gebeurtenissen op een rij (tijden zijn in Eastern Time, voor de Nederlandse tijd tel je er 6 uur bij op)
Zondag 13 januari, 8:28 uur: de tokens worden uit twee hot wallets van Cryptopia gehaald, één met ethereum en één met diverse tokens.
Zondag 13 januari, 23:58 uur: daarnaast worden nog grote hoeveelheden tokens uit secundaire wallets gestolen, een proces dat enkele dagen doorgaat.
Maandag 14 januari, 6:00 uur: Cryptopia schort haar handel op en kondigt een onderhoud van haar platform aan.
Dinsdag 15 januari, 3:00 uur: Cryptopia komt op Twitter met het nieuws dat hun platform is gehackt en dat de autoriteiten in Nieuw-Zeeland het voorval onderzoeken.
Donderdag 17-Jan, 5:58 uur: De laatste token worden uit de wallets van Cryptopia weggesluisd.
De totale buit komt volgens de berekeningen van Elementus neer op circa 16 miljoen dollar. Dit heeft alleen betrekking op de transacties op het ethereum-netwerk. Zo heeft Elementus niet de blockchain van bitcoin of andere protocollen onderzocht.
Ethereum, Dentacoin en Oyster Pearl
In het onderstaande plaatje en tabel wordt duidelijk van welke tokens het meeste is gejat. Dit is op basis van de marktwaarde op 19 januari 2019, dus de bedragen kunnen nu verschillen.
Marktwaarde van gestolen cryptocurrencies die naar de beurs zijn gestuurd
Van de 16 miljoen dollar die werd gestolen, wordt het overgrote meerderheid (~15 miljoen dollar) nog steeds in twee wallets bewaard:
- 0x9007a0421145b06a0345d55a8c0f0327f0327f62a2224
- 0xaa923cd02364bb8a4c3d6f894178d2e12231655c
Wat maakt deze hack zo bijzonder?
Elementus spreekt over een ander patroon bij de hackers dan wat we eerder gezien hebben in de cryptowereld. In het geval van de hacks bij Parity, de DAO en Spankchain werd een code in een smart contract gekraakt. Door het kraken van de code wordt er toegang verkregen tot meerdere wallets om deze te plunderen. Een ander type hack is dat iemand de private key van één bepaalde wallet bemachtigt en de tegoeden verstuurt naar een eigen wallet. Dit gebeurde onder meer bij Coinrail en Tether.
Wat maakt deze aanval dan uniek? Allereerst gaat het om een groot aantal wallets, in totaal ruim 76 duizend wallets. De hackers hebben dus de private keys kunnen bemachtigen van duizenden wallets.
Ten tweede ging de hack nog dóór terwijl Cryptopia deze formeel al naar buiten had gebracht.
Ook opvallend: de dieven namen 5 (!) dagen de tijd om in alle rust de tokens te verplaatsen naar hun wallets.Cryptopia keek dus ruim 4 dagen toe hoe de tokens verdwenen. De wallets waren geen smart contracts, waardoor het relatief eenvoudig voor Cryptopia moet zijn om deze nog te beveiligen in tweede instantie.
De enige verklaring is dat Cryptopia geen toegang meer heeft tot deze wallets.We kunnen voorzichtig concluderen dat de beurs zijn controle heeft verloren over meer dan 76 duizend wallets. Hoe heeft het zo ver kunnen komen? Mogelijk is de beurs zeer slordig omgesprongen met de private keys en heeft ze deze op één server opgeslagen. De hackers hebben de server gehackt, de data gekopieerd en toen alles uitgewist, waardoor Cryptopia geen toegang meer had tot deze tegoeden.
Conclusies
Concluderend stellen de onderzoekers van Elementus het volgende:
- Bijna 2.000 Ethereum-wallets (met daarop 46.000 dollar aan tegoeden) lopen nog steeds gevaar.
Klanten van Cryptopia hebben ethereum gestort nadat de eerste hack plaatsvond. Mogelijk hebben alleen de hackers en niet Cryptopia toegang tot deze portemonnees. Het is onbekend of de beurs contact met deze klanten heeft gezocht. Een lijst met alle risico-wallets staat op Github >> - Cryptopia heeft nog een voorraad aan ethereum weten veilig te stellen.
‘Slechts’ 3,5 miljoen dollar aan ethereum is gestolen, een relatief klein bedrag voor een beurs met het dagelijkse handelsvolume van Cryptopia. Deze tokens zijn opgeslagen in cold storage of bij een andere beurs. - Beurzen moeten verplichten worden om gestolen tokens te bevriezen.
De blockchain maakt alles transparant, zo is de gedachte. Beurzen hebben genoeg redenen om deze tegoeden direct te bevriezen.
Dit is grotendeels een vertaling van een artikel dat eerder verscheen op de website van Elementus.io, die zich omschrijft als een World Blockchain Index en dit dankbare onderzoekswerk heeft gedaan.