도난당한 비트겟 자금이 CoW와 체인플립을 통해 비트코인으로 전환됐다는 보고서가 나왔습니다.

보안업체 슬로우미스트는 북한 해커들이 비트겟에서 훔친 자금을 세탁하기 위해 CoW 프로토콜 주문과 체인플립 입금 주소를 연결한 후 그 수익금을 비트코인으로 전환하고 있다고 밝혔습니다.

X 포럼에서 Cos라는 닉네임으로 활동하는 이 회사의 설립자는 체인플립이 자금 흐름을 차단하려고 노력했음에도 불구하고 자금 세탁 방지 검사가 자동화된 자금 세탁 스크립트를 따라잡지 못하고 있다고 주장합니다.

SlowMist는 제3자 시스템으로의 공격 경로를 추적했습니다.

9월 29일 게시물에서 코스 는 슬로우미스트가 북한과 연계된 해커들이 CoW 프로토콜과 체인플립을 이용해 비트겟에서 자금을 빼돌리는 것을 탐지했다고 밝혔습니다.

자동화된 스크립트가 수신 주소를 미리 준비된 체인플립 예치 계약으로 설정한 CoW 주문을 생성했습니다. 주문 실행 후 체인플립은 크로스체인 스왑을 처리했고, 해당 자산은 비트코인으로 변환되었습니다.Cos는 몇 시간 동안 자금을 추적한 후 더 광범위한 패턴을 설명했습니다.

Chainflip은 의심스러운 자금 세탁 활동을 차단하려고 시도했지만, 자동화된 분산 처리와 여러 브리지를 통한 반복적인 시도로 인해 송금이 거부되거나 반환될 경우 운영자가 다른 경로를 시도할 수 있었습니다.

해당 자금은 최종적으로 비트코인(BTC)으로 전환되었고, 이후 코인조인(CoinJoin)을 사용하여 자금 흐름을 더욱 은폐했습니다.SlowMist가 개발한 암호화폐 추적 및 규정 준수 플랫폼인 MistTrack에 따르면, Chainflip이 한 건의 입금 시도를 거부했습니다. “브로커에 의해 입금이 거부되었습니다”라는 메시지가 표시되었지만, 자금은 동결되지 않고 환불 되었습니다.

앞서 미스트트랙은 비트겟 해킹으로 유출된 자금이 크로스체인 스왑을 위해 토르체인으로 흘러들어갔다고 지적하며, 허가 없는 L1 거래소인 토르체인이 도난 자금 처리에 대한 책임을 져야 한다고 주장했습니다. 그러나 토르체인 측은 자신들이 탈중앙화되고 허가 없는 거래소이며 “설계상 검열하지 않는다”고 반박했습니다.

SlowMist의 조사 결과, 해당 도난 사건은 이체 이전에 시작된 활동과 관련이 있는 것으로 밝혀졌으며, 입수 가능한 로그에서 가장 오래된 악의적인 행위는 8월 31일로 거슬러 올라가는데, 당시 한 타사 제품의 서비스가 제로데이 취약점을 통해 침해당했습니다.

공격자는 이후 9월 25일 내부 직원 계정을 사용하여 두 번째 제품의 관리 플랫폼에 접근하여 명령어를 주입하고 악성 파일을 작성하려고 시도했습니다.

출금 도구가 이번 공격을 온체인 전송과 연결시켰습니다.

SlowMist는 삭제된 파일에서 Bitget 지갑의 출금 로직에 맞춰 제작된 맞춤형 출금 도구를 복구했는데, 이 도구는 위험 관리 매개변수를 위조하고, 출금 요청을 구성하고, 출금 프로세스를 실행하는 데 사용되었습니다.

로그에 따르면 해당 공격은 9월 25일 01시 49분에 시작되었으며, 온체인 활동은 02시 31분에 공격자의 주소로 93 TRX가 전송되면서 시작되었고, 11초 후 0.84 ETH가 이더리움에 도착했습니다.

해당 거래는 여러 블록체인을 거쳐 오전 5시 23분까지 약 2시간 52분 동안 계속되었습니다. 슬로우미스트 보고서에 따르면, 공격자는 이 시간 동안 출금 기록을 조작하고 추가적인 비트코인 ​​출금을 시도했습니다.Bitget은 이번 사건이 개인 키 도난이 아닌 지갑 인프라의 백엔드 시스템 문제로 발생했다고 밝혔으며, 거래소는 이번 사건으로 피해를 입은 사용자들을 위해 사용자 보호 기금을 마련했다고 밝혔습니다.

도난당한 Bit get 자금이 CoW 및 Chainflip을 통해 BTC로 전환되었다는 보고서가 CryptoPotato에 게시되었습니다.