New Hacker HECO Chain "rửa tiền" hơn 145 triệu USD qua Tornado Cash

[xfoxvn]

Kẻ tấn công HECO Chain vào tháng 11/2023 đã chuyển hơn 40.000 ETH qua máy trộn Tornado Cash trong 8 ngày qua nhằm che giấu nguồn gốc và tẩu tán tài sản.​

Theo dữ liệu on-chain từ PeckShieldAlert, hacker đứng sau vụ tấn công HECO Chain - blockchain riêng của sàn giao dịch tiền mã hóa HTX (trước đây là Huobi) - đã thực hiện "rửa tiền" thông qua Tornado Cash trong tám ngày qua.

Tính đến ngày 22/03/2024, hacker đã chuyển thành công khoảng 40.391,8 ETH - tương đương 145,7 triệu USD - qua Tornado Cash với hàng chục giao dịch.

Hacker đã lợi dụng lỗ hổng trong cầu nối HECO Bridge - được sử dụng để di chuyển tiền giữa Ethereum (ETH) và HECO Chain - để đánh cắp 86 triệu USD tiền mã hóa bao gồm:

• 20,4 triệu USD ETH
• 42,1 triệu USDT
• 16,6 triệu USD HBTC (Bitcoin trên HECO)
• Các token khác như USDC, SHIB, LINK, TUSD, UNI

Kẻ tấn công sau đó nhanh chóng di chuyển tiền sang nhiều địa chỉ ví riêng biệt nhằm tránh bị truy vết và đổi sang ETH để không bị Tether đóng băng. Tuy nhiên, theo The Block, tổng thiệt hại có thể lên đến 110 triệu USD do có thêm lỗ hổng từ HTX.

Ngay sau khi vụ việc xảy ra, nhà sáng lập TRON Justin Sun đã xác nhận vụ tấn công, thông báo tạm ngừng nạp rút và cam kết bồi thường cho người dùng bị ảnh hưởng. Tuy nhiên, đến nay, HECO Chain vẫn chưa nối lại hoạt động nạp rút và tài khoản Twitter của HECO Chain cũng không còn cập nhật gì kể từ tháng 02/2023, khiến cộng đồng lo ngại cho tương lai của nền tảng này.

​

Đây là sự cố bảo mật thứ 3 nhắm vào hệ sinh thái HTX của Justin Sun trong năm 2023, sau hai vụ tấn công trước đó của Poloniex (thiệt hại 125 triệu USD) và HTX (tổn thất 7,9 triệu USD). HTX đã đề nghị hacker trả lại tiền với phần thưởng bug bounty 5% giá trị hack, Poloniex cũng đề nghị hacker trả tiền với thưởng lên đến 10 triệu USD, nhưng vẫn chưa có hồi âm.

Tornado Cash là máy trộn giao dịch ETH, từng bị chính quyền Mỹ cáo buộc tiếp tay cho hành vi rửa tiền qua crypto của nhiều tổ chức tin tặc. Tornado Cash đã bị đưa vào danh sách trừng phạt và hai nhà sáng lập dự án bị bắt giữ. Hiện tại, nhà phát triển Tornado Cash Alexey Pertsev đang bị chính quyền Hà Lan buộc tội rửa tiền trị giá 1,2 tỷ USD và chờ xét xử vào ngày 26/03 sắp tới.

Tuy nhiên, smart contract của Tornado Cash vẫn hoạt động bình thường và tiếp tục được sử dụng bởi cả người dùng crypto và hacker có kỹ năng lập trình cao để che giấu giao dịch trên Ethereum.