Huijarit rakensivat väärennetyn Upbit L2:n ja varastivat 2 miljoonaa dollaria ETH:ta

Kryptohuijarit tyytyivät aiemmin kloonattuihin verkkosivuihin tai kopiotokeneihin. Tällä kertaa joku rakensi kokonaisen lohkoketjun.

Viikonlopun aikana väärennetty versio GIWA:sta, Ethereum Layer 2:sta, jota Upbitin operaattori Dunamu rakentaa, veti sisään noin 767 ETH:tä 1 335 osoitteesta. Tämän jälkeen silta tyhjennettiin. Yhdellä tapahtumalla poistui noin 766 ETH:tä, nykyisellä hinnalla noin 2 miljoonaa dollaria.

__LYHYTKOODIN_TUNNUS_0__

Todellista GIWA-pääverkkoa ei ole olemassa. Dunamun oma dokumentaatio listaa vain Sepolia-testiverkon, ja GIWA sanoi X:ssä, ettei tuotantokäyttöön tarkoitettua RPC:tä ole julkaistu. Kaikki, jotka sillasivat oikeaa ETH:ta, lähettivät sen verkkoon, joka ei ole Upbitin, ei käytä Upbit-koodia eikä koskaan tule käyttämäänkään.

__LYHYTKOODIN_TUNNUS_1__

Kuinka väärennetty ketju sai oikeita talletuksia

Valeverkko ei ollut laskeutumissivu, jossa olisi ollut "yhdistä lompakko" -painike. Siinä oli RPC-päätepiste, toimiva silta, eräajo ja OP Stack -tyyppinen infrastruktuuri. Käyttäjät pystyivät siltaamaan, ja Gokhshtein Median mukaan ketju jopa näytti ostoja, myyntejä ja tokenien lanseerauksia, joten se näytti kiireiseltä.

Se käytti myös ketjutunnusta 9134, joka oli GIWA:n suunniteltuun lanseeraukseen liittyvä tunniste. Tämä yksityiskohta teki suurimman osan työstä. Ketjutunnus kertoo lompakolle, minkä verkon kanssa se kommunikoi, mutta se ei kerro mitään siitä, kuka hallitsee RPC:tä tai sen takana olevaa siltaa, kuten CryptoSlate huomautti artikkelissaan.

Ketjuanalyytikko Stablemark jäljitti järjestelmän. Operaatioon liittyvät lompakot rahoitettiin ChangeHeron kautta 26. syyskuuta. Noin 11 tuntia myöhemmin järjestelmää ja valesiltaa hallinnoiva Safe-lompakko otettiin käyttöön. Seuraavien 13 tunnin ajan talletuksia tuli jatkuvasti: Stablemarkin laskelmien mukaan 1 333 lompakkoa ja 767 ETH:ta.

__LYHYTKOODIN_TUNNUS_2__

Sitten operaattorit vaihtoivat sillan portaalikoodin ja vetivät ulos 766 ETH:ta kerralla. Kukaan ei hyödyntänyt bugia. Huijarit omistivat sopimuksen, joten he muuttivat sitä.

Varastetut varat ovat jo liikkeellä. Stablemarkin mukaan 177 ETH:ta kulki Tornado Cashin kautta, kun taas loput 589 ETH:ta sijaitsi neljässä lompakossa päivityksen aikaan. Tämä tekee yhteensä 766 ETH:ta, ja suurin osa siitä on edelleen näkyvissä ketjussa.

DEX, joka sen takaa

Tässä kohtaa kirpaisee pahasti. Valeketju ei levinnyt itsestään. DYORSWAP, moniketjuinen DEX, käsitteli sitä aluksi oikeana GIWA-pääverkkona ja lisäsi siihen tukea, minkä vuoksi niin monet käyttäjät päätyivät siltaamaan.

DYORSWAP sanoi myöhemmin, että ketju oli vilpillinen ja että oikea ketjutunnus oli saanut sen näyttämään lailliselta ensimmäisen varmennuksen aikana. Se sanoi myös, että sen omia älysopimuksia ei ollut vaarantunut ja että se oli merkinnyt epäilyttävät viestit ja henkilöt asiaankuuluvassa yhteisössä. Sen varoitus käyttäjille oli suora: älkää koskeko mihinkään epäviralliseen GIWA RPC:hen, siltaan tai sopimukseen.

Käyttäjät eivät suhtautuneet alkuperäiseen listaukseen lempeästi. Monet väittivät, että juuri DEX:n suositus sai sillan näyttämään turvalliselta.

Korvausraportointi ei ole vielä täysin ajan tasalla. CryptoSlate kertoo, että DYORSWAP maksaa 40% siirretystä summasta lompakoille, jotka lähettivät alle 5 ETH:tä. Suuremmat korvaushakemukset käsitellään erikseen ja ne vaativat henkilöllisyyden ja osoitteen tarkistuksen, koska jotkut suuret lompakot saattavat olla yhteydessä tietojenkalasteluun tai muuhun petokseen. Gokhshtein Median mukaan DYORSWAP on jo jakanut yli 200 ETH:tä omasta rahastostaan. Joka tapauksessa maksu on vain murto-osa kadonneista 766 ETH:stä.

__LYHYTKOODIN_TUNNUS_3__

Miksi GIWA oli täydellinen syötti

Ajoitus ei ollut sattumanvarainen. Dunamu ja Optimism Foundation ilmoittivat toukokuussa, että GIWAsta tulisi ensimmäinen itsehallinnoitu OP Enterprise -ketju, jossa Upbit hoitaisi operatiivisen valvonnan ja Optimism tarjoaisi varainfrastruktuurin. Dunamu on ylläpitänyt Sepolia-testiverkkoa syyskuusta 2025 lähtien, ja huhtikuussa se solmi yhteistyön Hana Financialin ja POSCO Internationalin kanssa testatakseen rajat ylittävää rahansiirtojärjestelmää GIWA-ketjussa.

GIWA:lla ei myöskään ole erillistä natiivia tokenia. ETH on perusomaisuus. Joten "ETH:n yhdistäminen uuteen Upbit-ketjuun" kuulostaa täysin normaalilta toiminnalta, eikä kysymisessä ole mitään epäselvää. Ei ole tokenia tarkistettavana, ei airdrop-siirtoa kyseenalaistamassa.

Korealainen lehti Seoul Economic Daily korosti, ettei kyseessä ollut GIWA:n itsensä hakkerointi. Se on totta, ja myös hieman epäolennaista niille, jotka menettivät rahaa.

Mitä on vielä auki

DYORSWAP sanoo jäljittävänsä sillanrakentajan, alkurahoituksen, testilompakot ja lopulliset vastaanottajat. Se säilyttää myös RPC-tietueita ja yhteisön viestejä. Neljässä lompakossa säilytettyä 589 ETH:ta on tarkkailtava määrä. Jos se päätyy mikseriin tai pörssiin, jäätymisikkuna pienenee huomattavasti.

Käyttäjille oppitunti on tylsä ja valitettava: ketjutunnus on tunniste. Jos verkkoa ei ole projektin virallisissa dokumenteissa, sitä ei ole vielä olemassa, riippumatta siitä, kuinka moni ihminen sillä käy kauppaa.