Payy ja Duelbits hakkeroitiin samana päivänä 1,8 ja 4,3 miljoonan dollarin edestä.

Kaksi toisiinsa liittymätöntä kryptoalustaa tyhjeni muutaman tunnin sisällä toisistaan 24. syyskuuta, ja yhdessä ne muodostavat kohtuullisen kuvan siitä, missä alan tietoturvaongelmat todellisuudessa sijaitsevat juuri nyt.

Payy: koko saldo mennyt

Yksityisyyteen keskittyvä stablecoin-maksuprotokolla Payy Network vahvisti, että sen Ethereum-rollup-sopimus oli hakkeroitu. Summaa ei kuitenkaan hakattu osittain – koko saldo vietiin. Specterin tutkijat havaitsivat ensin noin 1,8 miljoonan dollarin arvosta USDC:tä poistuvan protokollasta; Payyn oma vahvistus nosti luvun lähemmäksi 1,83 miljoonaa dollaria, kun ETH-muunnos oli laskettu.

Hyökkääjä rahoitti operaation kaasun hankintaa yksityisyydensuojaa tarjoavan Railgunin kautta ennen kuin tyhjensi koko summan. Varastettu USDC vaihdettiin noin 683 ETH:ksi ja jaettiin kolmeen osoitteeseen, mikä on tavanomainen ensimmäinen siirto ennen rahanpesua. Payy on sittemmin keskeyttänyt talletukset, nostot, siirrot ja korttitapahtumat verkossa ja sanoo ilmoittaneensa asiasta lainvalvontaviranomaisille ja käyttäneensä ulkopuolisia tapaustenkäsittelyyrityksiä.

Huomiota herättävää ei ole hyökkäyksen hienostuneisuus. Alustava luokittelu viittaa sillan ja kokoamisrajapinnan käyttöoikeuksien hallinnan vikaan, ei uuteen kryptografiseen temppuun. Vain käyttöoikeuteen, jonka ei olisi pitänyt olla avoinna.

Duelbits: vakioasiakas

Kryptokasino Duelbits meni pois päältä samana päivänä sen jälkeen, kun PeckShield ilmoitti noin 4,3 miljoonan dollarin arvosta epäilyttävistä ulosvirtauksista Ethereumin ja BNB-ketjun kautta: 836 ETH:ta (~2,23 miljoonaa dollaria), 1,146 miljoonaa USDT:tä, 209 BNB:tä (~160,7 tuhatta dollaria), 96 805 USDC:tä, 12,4 miljardia SHIB:tä (~70,2 tuhatta dollaria) ja 31 515 DAI:ta. Hyökkääjä reititti saaliin deBridgen ja Relayn Router V3:n kautta ja yhdisti sitten suurimman osan siitä noin 1 588 ETH:ksi jättäen DAI:n suurelta osin koskemattomaksi.

__LYHYTKOODIN_TUNNUS_0__

Duelbits ei ole paljastanut, miten pääsy tilille saatiin, eikä ole vieläkään selvää, vaikuttivatko pelaajasaldot – ainoastaan se, että kuumat lompakot olivat tyhjentyneet. Scam Snifferin luvut olivat hieman alhaisemmat, noin 4,2 miljoonaa dollaria, mutta yritys ilmoitti, että myös Tron-lompakot olivat tyhjentyneet. Myöhemmin Bitcoiniin ja Solanaan liittyvä ketjutoiminta nosti joitakin arvioita 5,9 miljoonaan dollariin ennen kuin tilanne rauhoittui. Toimiva teoria on vuotanut yksityinen avain, ei sopimusvirhe.

Duelbits ei ole täällä ensimmäistä kertaa. Kasino menetti 4,64 miljoonaa dollaria helmikuussa 2024 CertiK:n katsoman yksityisen avaimen paljastumiseen liittyvän hyökkääjän tappiot. Hyökkääjä hyödynsi kaksinkertaisen laskennan virhettä token-sopimuksen saldo-logiikassa. Kyseessä on kaksi suurta hakkerointia, noin 18 kuukauden välein, ja molemmat jäljittivät avain- tai käyttöoikeusongelmiin pikemminkin kuin johonkin eksoottiseen uuteen hyökkäysvektoriin. Pelkästään tämä kaava kertoo jotain siitä, kuinka paljon työtä hot wallet -operaattoreilla on vielä edessään.

Suurempi kuva

Loitonna ja ajoitus linjautuu trendin kanssa, jota tietoturvayritykset ovat varoittaneet koko vuoden. Immunefi laski 207 hakkerointitapausta vuoden 2026 ensimmäisellä puoliskolla, mikä on ennätys, ja menetti noin 972 miljoonaa dollaria. CertiK:n luku samalta ajanjaksolta oli lähempänä 1,32 miljardia dollaria. Näiden kahden luvun välinen ero on vähemmän tärkeä kuin se, mistä yritykset ovat yhtä mieltä: hyökkääjät ovat pitkälti siirtyneet ylöspäin. Älysopimusvirheitä on nyt vaikeampi löytää jatkuvien tarkastusten ja bug bounty -ohjelmien ansiosta, joten rahat ovat kulkeneet vähiten vastustuskykyä pitkin infrastruktuuriin, vuotaneisiin avaimiin, väärin konfiguroituihin siltoihin ja etuoikeutettuihin käyttöoikeuksiin, joita ei ole koskaan lukittu kunnolla.

Payy ja Duelbits, joihin osuttiin tuntien välein kahdella eri tavalla, osuvat molemmat täsmälleen samaan kategoriaan. Kumpikaan yritys ei ole vielä julkaissut täydellistä ruumiinavausta, ja molempien tapausten luvut voivat vielä muuttua tutkijoiden jäljittäessä varoja.