Pagkawala ng Pondo sa Predict.fun
Ayon sa mga ulat, hindi bababa sa 19 na wallet na konektado sa prediction market platform na Predict.fun ang naiulat na naubos, na nagresulta sa pagkawala ng humigit-kumulang 105 ETH, na nagkakahalaga ng $260,000. Ang mga imbestigador ay nag-uugnay sa mga hinihinalang ninakaw na pondo sa pamamagitan ng Ethereum patungo sa cryptocurrency mixer na Tornado Cash.
Mga Detalye ng Insidente
Iniulat ng on-chain investigator na si Naeven ang hinihinalang atake noong Oktubre 27, matapos na ibunyag ng isang gumagamit ng crypto na kilala bilang “dethective” na nawalan ng humigit-kumulang $5,000 at nagtaas ng mga alalahanin na ang iba pang gumagamit ng Predict.fun ay nakakaranas ng katulad na hindi awtorisadong pag-withdraw. Mukhang tama si Detective, dahil maraming account ang naubos.
“Sa tingin ko may mali sa Predict.fun at hindi ako nag-iisa na biktima,” isinulat ng gumagamit.
Kasama sa post ang isang wallet address, 0x8b001D7378DBc19C1c62E39c0fC9FFAD84182fBa, na nakilala ng gumagamit bilang tumanggap ng mga ninakaw na pondo. Isang kasamang screenshot ng transaksyon ang nagpakita ng isang outgoing transfer ng humigit-kumulang 4,845 USDT mula sa isang address na may label na Kernel, kasama ang mga naunang transaksyon na may kinalaman sa isang Predict.fun contract.
Imbestigasyon at Mga Natuklasan
Ipinakita ng screenshot ang mga transfer ng 17.253 USDT at 105.63 USDT na nauugnay sa isang kontrata na may label na Predict Fun: CTFAutoRedemptionH…, bagaman ang tiyak na koneksyon sa pagitan ng mga naunang transaksyon at ang naiulat na pagnanakaw ay hindi naitatag. Kaagad pagkatapos, nag-publish si Naeven ng hiwalay na pagsusuri na nagmumungkahi na ang problema ay lumampas sa paunang reklamo.
Nakilala ng mapa ng transaksyon ng imbestigador ang ilang wallet na sinasabing naapektuhan ng parehong aktibidad, na may mga transfer na dumaan sa iba’t ibang address bago umabot sa Ethereum. Habang ang mga natuklasan ay nagpapahiwatig na maraming gumagamit ang naging target, ang tiyak na paraan na ginamit upang ma-access ang kanilang mga pondo ay nananatiling hindi alam.
Paglipat ng mga Pondo
Ipinapakita ng mga natuklasan ni Naeven na ang hinihinalang umaatake ay gumamit ng maraming intermediary wallet upang kolektahin ang mga asset mula sa mga apektadong address bago ilipat ang mga kita sa Ethereum. Ayon sa imbestigador, ang mga pondo ay pagkatapos ay ipinasa sa Tornado Cash, kung saan ang pag-mix ng transaksyon ay maaaring gawing mas mahirap na sundan ang kanilang paggalaw.
Ang Predict.fun ay nagpapatakbo sa BNB Smart Chain, gamit ang USDT bilang collateral para sa mga prediction market kung saan ang mga kalahok ay nagtrade ng mga posisyon batay sa mga kinalabasan ng mga hinaharap na kaganapan. Ang platform ay gumagamit ng mga conditional token contract upang pamahalaan ang mga posisyon at pag-settle, kabilang ang mga transaksyon sa redemption kapag nalutas ang mga merkado.
Mga Nakaraang Insidente
Walang nakumpirmang bilang para sa kabuuang bilang ng mga apektadong gumagamit lampas sa 19 na address na nakilala ni Naeven. Ang naiulat na paggalaw ng mga pondo patungo sa Tornado Cash ay sumusunod sa ilang kamakailang insidente kung saan ang mga umaatake ay naglipat ng ninakaw na cryptocurrency sa pamamagitan ng mixing protocol.
Noong nakaraang buwan, iniulat ng crypto.news na ang mga wallet na konektado sa Drift Protocol exploit ay naglipat ng humigit-kumulang $109 milyon sa Ether patungo sa Tornado Cash sa loob ng dalawang araw. Ang mga transaksyon ay kinasasangkutan ng tinatayang 44,510 ETH, habang ang mga wallet na konektado sa umaatake ay naiulat na naghawak ng isa pang 56,569 ETH, na nagkakahalaga ng humigit-kumulang $138 milyon.
Sa isang hiwalay na insidente noong Oktubre, sinubaybayan ng blockchain security firm na Salus ang humigit-kumulang $12.4 milyon sa cryptocurrency mula sa Triple-A treasury breach patungo sa Tornado Cash. Nakilala ng imbestigador ang 56 na deposito na kinasasangkutan ng 4,970 ETH, kabilang ang 49 na transfer ng 100 ETH at pitong transfer ng 10 ETH.
Isang ibang kaso na kinasasangkutan ng mga mapanlinlang na pahintulot sa wallet ang iniulat noong Oktubre 5, nang ikinonekta ng security firm na Salus ang mga hindi awtorisadong pag-withdraw ng USDG sa mga permit signature na nagbigay sa mga umaatake ng walang limitasyong pahintulot sa paggastos.
Ayon sa Salus, ginamit ng mga salarin ang mga pahintulot upang ilipat ang mga pondo kaagad pagkatapos makuha ang awtorisasyon, na kumpleto ang pag-apruba at pag-withdraw sa isang solong transaksyon. Natagpuan ng firm na ang mga ninakaw na asset ay nahati sa pagitan ng dalawang address na kontrolado ng umaatake sa isang 80% at 20% na paghahati, na kahawig ng istruktura ng pamamahagi na ginamit ng ilang operasyon ng drainer.
Sa kaso ng Predict.fun, hindi pa naitatag ng mga imbestigador kung ang mga mapanlinlang na pahintulot sa token ay naglaro ng papel sa naiulat na pagkalugi o kung ang mga apektadong wallet ay nakipag-ugnayan sa isang karaniwang nakompromisong kontrata.
