Wie is de FTX-hacker? On-Chain Clues werpen licht op de situatie 

Het adres dat ongeveer $ 372 miljoen van FTX heeft overgemaakt, is waarschijnlijk van een black hat-hacker. 

Wie heeft FTX gehackt?

Er woedt een debat over wie FTX heeft gehackt.

De omstreden crypto-uitwisseling was gehackt op 12 november, uren nadat het vrijwillig faillissement van Chapter 11 had aangevraagd. Volgens een bericht van 17 nov rechterlijke aanklagers van FTX CEO John J. Ray III, heeft een onbekende entiteit ten minste $ 372 miljoen van FTX naar een externe portemonnee overgemaakt. “FTX is gehackt. Alle fondsen lijken op te zijn”, schreef een admin die langs Rey ging op het officiële Telegram-kanaal van FTX. 

Als reactie op de hack begon een tweede portemonnee met verbindingen naar een 'ken-uw-klant'-geverifieerd account op de crypto-uitwisseling Kraken geld over te maken van FTX. Een latere aanvraag van de Securities Commission van de Bahama's geeft aan dat voormalig FTX-CEO Sam Bankman-Fried deze portemonnee beheerde en geld overmaakte op aanwijzing van de toezichthouder om "de belangen van klanten en crediteuren te beschermen". Dit voorkwam dat de eerste hacker voor naar schatting 200 miljoen dollar aan geld kon incasseren.

Echter, terwijl dit plaatsvond, de eerste portemonnee, waarvan wordt aangenomen dat het een zogenaamde "black hat"-hacker is die met kwaadaardige bedoelingen opereert, begon gestolen activa om te zetten in Ethereum, MakerDAO's DAI stablecoin en BNB Chain's native token, terwijl het ook geld stuurde via een verscheidenheid aan cross-chain token-bruggen. De aanvaller deed dit waarschijnlijk om te voorkomen dat zijn onrechtmatig verkregen winsten zouden worden bevroren. Het is een minder bekend feit dat stablecoins zoals USDC en USDT bevriezings- en blacklist-functies hebben ingebouwd in hun contracten, waardoor hun respectieve uitgevers transacties kunnen stopzetten en handmatig geld in beslag kunnen nemen. 

Omdat tijd van essentieel belang was, liep de hacker een aanzienlijke hoeveelheid ontsporingen op door snel achter elkaar enorme hoeveelheden tokens om te wisselen, waardoor hij duizenden dollars verloor. Dit feit alleen al geeft aan dat deze portemonnee waarschijnlijk niet wordt gecontroleerd door de Bahamaanse overheid of toezichthouders, omdat ze activa willen behouden in het belang van de schuldeisers van FTX. Alleen een kwaadwillende actor zou opzettelijk slippen op transacties om te voorkomen dat activa in beslag worden genomen. 

Bovendien heeft de hacker ook 3,168 BNB overgemaakt naar een adres dat is verbonden met een kleine Russische crypto-uitwisseling genaamd Laslobit voordat het geld naar de Huobi-uitwisseling wordt gestuurd. Wat betreft de rest van de buit, na een paar dagen inactief te zijn geweest, begon de hacker swapping ETH voor ingepakte renBTC en het op 20 november via de Ren-brug naar het Bitcoin-netwerk sturen. De hacker zal waarschijnlijk een Bitcoin-mixservice gebruiken om de traceerbaarheidsketen naar de fondsen te doorbreken. De hacker begon ook ETH op de markt te verkopen, waardoor crypto nummer twee in prijs daalde. Zij begonnen het verplaatsen van meer ETH in batches van 15,000 tokens op 21 november, waardoor de vrees ontstond dat ze zich zouden kunnen voorbereiden om nog een deel van hun voorraad te verkopen. 

Crypto-briefing eerder gemeld dat de eerste FTX-hacker Bankman-Fried was die opereerde onder leiding van de Bahamaanse regering, volgens een rechtszaak van 17 november. Deze theorie is echter in twijfel getrokken in het licht van meer substantieel on-chain bewijsmateriaal en aanwijzingen in gerechtelijke documenten van zowel John J. Ray III als Bahamaanse regelgevers.

Het lijkt er nu op dat het eigenlijk het tweede adres was dat geld uit FTX overmaakte om de resterende activa van de beurs te beschermen. Het is vermeldenswaard dat het gedrag van deze twee portefeuilles opvallend verschillend is. Terwijl de eerste portemonnee activa heeft geruild, overbrugd en is begonnen met het witwassen, heeft de tweede simpelweg tokens overgedragen naar een portemonnee met meerdere handtekeningen. 

Details over hoe FTX werd gehackt zijn nog onduidelijk. Afgaande op de timing van de hack onmiddellijk na het faillissement van het bedrijf, hebben sommigen gespeculeerd dat de hacker een ontevreden voormalige werknemer zou kunnen zijn die toegang had tot de accounts van FTX. Het is echter net zo waarschijnlijk dat iemand die geen verbinding heeft met FTX, misbruik heeft kunnen maken van de verstoring in het bedrijf om aan te vallen, en mogelijk toegang heeft gekregen door werknemers te misleiden om door malware geteisterde e-mails te openen tijdens de faillissementsverwarring. Eerdere spraakmakende hacks toegeschreven aan een door de Noord-Koreaanse staat gesponsorde hacker Lazarus Group deze techniek hebben gebruikt. Het is waarschijnlijk dat naarmate de faillissementszaak van FTX vordert, er meer informatie aan het licht zal komen over hoe de beurs is gehackt en wie verantwoordelijk is. 

Openbaarmaking: op het moment dat dit stuk werd geschreven, bezat de auteur ETH, BTC en verschillende andere crypto-activa.