क्रिस्टल ब्लॉकचेन एनालिटिक्स: हक्स एंड थेफ्ट के मामलों की जांच

इस रिपोर्ट में, Bitfury ने अपने क्रिस्टल ब्लॉकचेन एनालिटिक्स इंजीनियरिंग टीम द्वारा ज़ैफ़ एक्सचेंज, बिथंब एक्सचेंज और इलेक्ट्रम वॉलेट्स से बिटकॉइन के आंदोलन पर पूरा विश्लेषण साझा किया है।

ज़ैफ़ एक्सचेंज हैक की जांच

17 सितंबर, 2018 को, ज़ीफ़ एक्सचेंज ने बीटीसी, बीसीएच और मोना में जमा और निकासी को निलंबित कर दिया। 18 सितंबर को, एक्सचेंज ने पुलिस को सूचित किया कि उसे हैक कर लिया गया था और धन की चोरी हो गई थी। अपनी घोषणा में , उन्होंने निम्नलिखित जानकारी साझा की:

किसी ने 14 सितंबर, 2018 को शाम 5 बजे और 7 बजे स्थानीय समय (सुबह 8 बजे और 10 बजे यूटीसी) के बीच अनाधिकृत रूप से प्रवेश प्राप्त किया। उन्होंने 5,966 बिटकॉइन (बीटीसी) और बीसीएच और मोना की अज्ञात मात्रा को सफलतापूर्वक स्थानांतरित कर दिया। 17 सितंबर को सर्वर में खराबी का पता चलने पर ज़ाफ़ को इस अनधिकृत पहुँच के लिए सतर्क किया गया था।

क्रिस्टल विश्लेषिकी अनुसंधान

बिटफ्यूरी की ब्लॉकचेन एनालिटिक्स इंजीनियरिंग टीम ने हैक की जांच की, विशेष रूप से चोरी हुए बिटकॉइन के आंदोलन पर ध्यान केंद्रित किया। हमारी जाँच का सारांश नीचे पाया जा सकता है।

चरण 1: हैकर पते की पहचान करें । क्योंकि ज़ैफ़ ने अनधिकृत पहुंच के सटीक समय को साझा किया था, हम हैकर से लेन-देन करने में सक्षम थे। हमने सुबह 7 बजे से 11 बजे के बीच UTC में हुए सबसे बड़े लेनदेन पर शोध किया। हमें शीघ्र ही एक संदिग्ध लेनदेन का पता चला। लेन-देन आईडी c3b9a4a0831a65523c81e6a04f6ddf5a7a89f344d990e8a13e5278efe57f4280 है ।

इस लेनदेन में 131 इनपुट हैं। क्रिस्टल की पहचान सॉफ्टवेयर का उपयोग करते हुए, हम यह निर्धारित करने में सक्षम थे कि सभी इनपुट पते ज़ैफ़ पते थे। आउटपुट पता 1FmwHh6pgkf4meCMoqo8fH3GNRF571f9w है । सभी बिटकॉइन को इस पते पर भेज दिया गया था।


ज़ैफ़ से हैकर तक के संदिग्ध लेनदेन की पहचान।

चरण 2: चोरी हुए फंड को ट्रैक करें । बिटकॉइन पते की पहचान करने के बाद चोरी किए गए बिटकॉइन को भेज दिया गया, हमने उस पते की निगरानी शुरू कर दी। हमारा लक्ष्य उन पते या ज्ञात संस्थाओं को खोजना था, जिन्हें इस पते से बिटकॉइन की चोरी हुई थी। हमने क्रिस्टल के ट्रैकिंग टूल का उपयोग करके ऐसा किया।

पता 1FmwHh6pgkf4meCMoqo8fH3GNRF571f9w में 9 आउटगोइंग लेनदेन थे और हमने प्रत्येक को ट्रैक किया। इन लेनदेन की निगरानी के बाद, हमने पाया कि 5,109 पतों को चुराए गए धन का एक हिस्सा मिला है।

इसके बाद, हमने निधियों के सबसे महत्वपूर्ण हिस्से के नियंत्रण में पाई गई राशि और पाए गए पतों द्वारा ट्रैकिंग परिणामों को क्रमबद्ध किया। कुछ मामलों में, हम उन पते को वास्तविक संस्थाओं के लिए सक्षम करने में सक्षम थे।


ज़ीफ़ से धन का हस्तांतरण हैकर को देता है

परिणाम: ट्रैकिंग परिणामों ने संकेत दिया कि धन का महत्वपूर्ण हिस्सा (कुल राशि का 30%) दो बिटकॉइन पते पर बसा था:

1. 3MyE8PRRitpLxy54chtf9pdpjf5NZgTfbZ- 1,007.6 BTC पते पर बसे।
2. 3EGDA9rRNhxnhRzpyRmawYtcYg1jP8qb7-754.5 BTC पते पर बसे।

इन पतों में लेनदेन की एक बहुत छोटी श्रृंखला के भीतर बिटकॉइन प्राप्त हुआ (औसत लंबाई 3 लेनदेन थी)। वे पहले ब्लॉकचेन पर दिखाई नहीं दिए थे, इसलिए मालिक अज्ञात है। यह संभावना है कि ये पते हैकर के हैं, इसलिए हम उनकी गतिविधि पर नज़र रखेंगे।

बिटकॉइन (1,451.7 बीटीसी या 24%) का एक महत्वपूर्ण हिस्सा बिनेंस को छोटे लेनदेन के एक सेट के भीतर, बिनेंस पते 1NDyJtNTjmwk5xPNhjgAMu4HDHigbbu1s पर भेजा गया था। Binance ने पुष्टि की कि वे अपने आधिकारिक ट्विटर अकाउंट में इस पते के मालिक हैं। Binance उपयोगकर्ताओं को एक सख्त KYC / AML प्रक्रिया से गुजरे बिना 2 BTC तक वापस लेने की अनुमति देता है, इसलिए प्रत्येक Binance जमा पते पर भेजी गई औसत राशि 1.99-2 BTC थी।


बिनेंस डिपॉजिट का पैटर्न


एक बिनेंस पते पर धन प्रवाह का दृश्य

बिटकॉइन के अंश भी ChipMixer.com को भेजे गए थे। मिक्सिंग सेवा लेनदेन की एक छोटी श्रृंखला के भीतर पहुंच गई थी। चिपमिक्सर डॉट कॉम को लगभग 60 बीटीसी भेजे गए हैं। आप नीचे दिए गए चित्र पर ChipMixer.com को एक लेनदेन देख सकते हैं।


ChipMixer.com के लिए धन प्रवाह का दृश्य

शेष बिटकॉइन को अपेक्षाकृत कम मात्रा में विभाजित किया गया था। लगभग 13 बीटीसी विभिन्न हूबी पते पर भेजे गए हैं। कुछ बिटकॉइन BTCBox.com, Bitstamp और Livecoin जैसे एक्सचेंजों में पहुंच गए। बिटकॉइन के कुछ हिस्से को मिक्सिंग / जुआ सेवाओं जैसे CoinGaming.io और Bitcoin Fog में भेजा गया था। हालाँकि, ये संस्थाएँ लेन-देन की लंबी श्रृंखला के भीतर पहुँची थीं।

बाकी धन अज्ञात मालिकों के पते पर बसे हैं, और हम भविष्य में उनकी निगरानी रखेंगे।

बिठंब एक्सचेंज हैक की जांच

बुधवार, 20 जून को, बिथंब के अधिकारियों ने कहा कि कोरियाई क्रिप्टो एक्सचेंज बिथुम्ब से अज्ञात हैकर्स द्वारा लगभग $ 31M चुराया गया था। हैक से चार दिन पहले, एक्सचेंज ने घोषणा की कि वह सुरक्षा कारणों से सभी परिसंपत्तियों को एक ठंडे बटुए में स्थानांतरित कर रहा है।

उपयोगकर्ताओं द्वारा धन की निकासी को अस्थायी रूप से 15 जून, 2018 को शाम 6:20 बजे शुरू किया गया था। हमने हैक से पहले चार दिनों की अवधि में धन की आवाजाही का पता लगाने का निर्णय लिया।

हमने 1 मिलियन से अधिक पतों की जांच की शुरुआत की जो कि बिथंब के हैं और उन सभी पतों की एक सूची तैयार की, जिन्हें चार दिनों के दौरान धन प्राप्त हुआ। केवल 15 जून से 20 जून तक किए गए लेनदेन की समीक्षा की गई।


फंड्स बिथंब कोल्ड वॉलेट में जाते हैं

19 जून तक, धन की आवाजाही के दो मुख्य पैटर्न थे:

1. स्थानांतरित किए गए कई फंड इस पते पर जमा हो गए थे: 1LhWMukxP6QGhW6TMEZRcqEUW2bFMA4Rwx (इसे "1LhW" पते के रूप में संदर्भित किया जाता है)
2. 1LhW पते से, बड़ी मात्रा में लेनदेन 18x5Wo3FLQN4t1DLZgV2MoAMWXmCYL9b7M (पते के रूप में संदर्भित किया जाता है " 18185 " के बाद इसे भेजा गया था)

18x5 पता एक्सचेंज का ठंडा बटुआ है। इसका लेन-देन इतिहास (बिथुंब एक्सचेंज पते के लिए / से बड़े संस्करणों के दुर्लभ लेनदेन) द्वारा किया गया है।


पते का संतुलन इतिहास "18x5"

फंड आंदोलन का पैटर्न 19 जून, 2018 को दोपहर 03:07 बजे यूटीसी में बदल गया। इस समय, दो लेन-देन Bithumb जेब से पते पर शुरू किए गए थे:

• 34muFC1sWsvJ5dzWCotNH4rpKSNfkSCYvD
• और 3DjdVF83hhXKXV8nUFWCF5chrdSAkgE6Ny ...

... 0.1 बीटीसी के असामान्य रूप से उच्च आयोगों के साथ। इस क्षण के बाद, आधे घंटे की अवधि थी जिसमें लगभग 1,050 बीटीसी को वापस ले लिया गया था और उन पतों में जमा किया गया था जो पहले ब्लॉकचेन में नहीं दिखाई दिए थे। इन पतों पर धन की निकासी (38 पते) एक दिन से अधिक चली।

उसके बाद, बफर एड्रेस 1LhW का उपयोग कर एक्सचेंज बंद हो जाता है । इसके अलावा, 19 जून, 2018 को 05:01 PM UTC के बाद, पते 18x5 के लिए आने वाले लेनदेन के लिए शुल्क राशि नाटकीय रूप से बदल गई - पहले 0.1 बीटीसी, और फिर 0.2 बीटीसी।

इस परिवर्तन के तुरंत बाद, ट्विटर पर आधिकारिक एक्सचेंज खाते पर एक संदेश दिखाई दिया, जो उपयोगकर्ताओं को धन जमा करने से बचने के लिए चेतावनी देता है।

विनिमय पतों से धन की निकासी के लिए उच्च लेनदेन शुल्क पूरे दिन जारी रहा, कभी-कभी आउटपुट वॉल्यूम से अधिक 2 बीटीसी तक पहुंच गया।

असामान्य रूप से उच्च शुल्क के साथ लेनदेन

इस तरह के व्यवहार ने 19-20 जून को लेनदेन शुल्क और बिटकॉइन नेटवर्क की भीड़ में वृद्धि को उकसाया।

16 जून से 20 जून तक की अवधि के लिए बिठुंब पर्स से निकाले गए सभी फंड 39 वॉलेट द्वारा प्राप्त किए गए थे (हमने गणना के परिणामों से छोटी मात्रा के साथ कई दर्जनों परिवर्तन पते को बाहर कर दिया था)।

इन 39 पतों में से एक एक्सचेंज ( 18x5 ) का कोल्ड वॉलेट है, जिसे ज्यादातर फंड मिले थे। शेष 38 पते अज्ञात मालिकों के हैं। इन पते को 19-20 जून को दिन के भीतर 2002.52 BTC प्राप्त हुआ। (48.126 बीटीसी के लिए लेनदेन शुल्क के साथ)

ऊपर दी गई जानकारी के आधार पर, यह हमारी पेशेवर राय है कि दो संभावित विकल्प हैं:

1. 38 पते का सेट जिसमें से धनराशि निकाल ली गई थी, हैकर्स के हैं। अपराधियों, सिस्टम या निजी कुंजी के साथ डेटाबेस तक पहुंच वाले, 19 जून, 2018 को 03:07 बजे यूटीसी पर अपने पते पर स्थानान्तरण करना शुरू कर दिया। उच्च आयोग (0.1 बीटीसी) इस मामले में तार्किक हैं यदि आप जल्दी से जल्दी वापस लेना चाहते हैं।
   
   थोड़ी देर के बाद, एक्सचेंज ने चोरी पर ध्यान दिया और एक ठंडे बटुए में स्थानांतरित करने पर लेनदेन शुल्क उठाना शुरू कर दिया (कभी-कभी हैकर्स के लेनदेन की तुलना में बहुत अधिक)। 20 जून को दिन के अंत तक, एक्सचेंज सुरक्षा समस्याओं को हल करने में कामयाब रहा। बिटकॉइन्स में नुकसान, जैसा कि बिथंब, 2.016 बीटीसी ने कहा था। यह संख्या हमारे द्वारा गणना की गई राशि (अज्ञात पतों के समूह द्वारा प्राप्त), 2,002.52 BTC के बहुत करीब है, जो यह भी इंगित करता है कि यह विकल्प संभावना है।
2. हमारे द्वारा लिए गए सभी पते एक्सचेंज के हैं। एक अन्य संभावित विकल्प यह है कि चोरी उन वॉलेट्स से हो सकती है जो हमारे डेटाबेस में नहीं हैं। यह देखते हुए कि बिठुम्ब इस मामले की जांच में कानून प्रवर्तन एजेंसियों के साथ सहयोग कर रहा है, साथ ही तथ्य यह है कि उन्होंने हाल ही में लाइसेंसिंग प्रक्रिया पारित की, संभावना है कि एक्सचेंज द्वारा प्रदान की गई झूठी जानकारी की संभावना नहीं है।

निधियों को ट्रैक करना

इन पतों पर आगे निगरानी की गई और धन की वापसी 2 अगस्त को शुरू हुई। सबसे पहले, 1000 बीटीसी का एक बड़ा लेनदेन हुआ। हमने इस लेन-देन की ट्रैकिंग शुरू की और, इसके परिणामों के अनुसार, लगभग 30 बीटीसी के लेनदेन के भीतर योबिट एक्सचेंज से संबंधित दो पते पर पैसा भेजा गया। पैसे के प्रवाह का दृश्य नीचे दिए गए आंकड़े में देखा जा सकता है।


फंड्स योबिट पते पर जाते हैं

एड्रेस 1JwpFNKhBMHytJZtJCe7NhZ8CCZNs69NJ1 ग्राफ के ऊपर, जो Yobit से संबंधित है, को 603 BTC प्राप्त हुआ। एक अन्य योबिट एड्रेस, 13jHABthiyHHtviHe9ZxjtK8KcEANzhjBT , 396 बीटीसी को लेन-देन की एक ही श्रृंखला के माध्यम से प्राप्त किया।

शेष धन सीधे योबिट पते पर भेजे गए थे। नीचे आप इसके पते और प्राप्त राशि की सूची देख सकते हैं:

• 1DBRZgDZYnmLWLUpLMgBo1P12v9TnCL8qr - 100 BTC
• 13rgFLyKYQduTwhJkkD83WDLVNMXs4fwPp - 100 4TC
• 1A6wuQGYPbEEb9cy76tdSQHmm5fi5wvzHK-4444TC
• 1JquU8Hp6nAhom5c3UDBa9QM5iv1W2Wf2b - 433 BTC

योबिट को वापस लेने के बाद, 3 पते में 29 बीटीसी शेष थे, संभवतः हैकर से संबंधित थे। उन्होंने 31 अगस्त को चलना शुरू किया। धन को भागों में विभाजित किया गया था - लगभग दो बीटीसी प्रत्येक - और CoinGaming.io को भेजे गए थे। पैसे के प्रवाह का दृश्य नीचे दिए गए आंकड़े में देखा जा सकता है:


CoinGaming.io में धन प्रवाह होता है

नतीजतन, CoinGaming.io को चुराए गए धन से 29 बीटीसी प्राप्त हुआ।

फंड्स के मूवमेंट पैटर्न को देखते हुए, हम मानते हैं कि हमने जो 38 पते पहचाने हैं वह हैकर के हैं। चुराए गए धन का अधिकांश हिस्सा योबिट एक्सचेंज को भेजा गया था।

इलेक्ट्रम थेफ्ट केस की जांच

दिसंबर को 27, 2018, बिटकॉइन वॉलेट इलेक्ट्रम ने उपयोगकर्ताओं को एक फ़िशिंग हमले के बारे में सूचित किया जो दुर्भावनापूर्ण सर्वर के माध्यम से उपयोगकर्ताओं को लक्षित कर रहा था। उस समय, कथित हैकर (ओं) ने पहले ही 245 से अधिक बीटीसी चुरा लिए थे।

क्रिस्टल एनालिटिक्स का उपयोग करते हुए, हमने हैक से धन की आवाजाही की जांच की, उन्हें दो प्रमुख एक्सचेंजों पर नज़र रखी। नीचे, हम उन निष्कर्षों को प्रस्तुत करते हैं।

फ़िशिंग हमले ने निम्नलिखित तरीके से काम किया:

1. सबसे पहले, कथित हैकर ने दर्जनों दुर्भावनापूर्ण सर्वरों को इलेक्ट्रम नेटवर्क से जोड़ने में कामयाबी हासिल की
2. उपयोगकर्ता अपने वैध वॉलेट का उपयोग करके एक बिटकॉइन लेनदेन शुरू करता है;
3. जवाब में, उपयोगकर्ता को एक धक्का त्रुटि संदेश प्राप्त होता है - एक फ़िशिंग संदेश जिसे उपयोगकर्ता को दुर्भावनापूर्ण साइट (GitHub रिपॉजिटरी) से "अपडेट" तुरंत डाउनलोड करने की आवश्यकता होती है;
4. उपयोगकर्ता लिंक पर क्लिक करता है और दुर्भावनापूर्ण अपडेट डाउनलोड करता है;
5. उपयोगकर्ता द्वारा वॉलेट के मैलवेयर संस्करण को स्थापित करने के बाद, प्रोग्राम पीड़ित को दो-कारक प्रमाणीकरण कोड के लिए कहता है (जो सामान्य परिस्थितियों में, केवल धन हस्तांतरण के लिए अनुरोध किया जाता है);
6. नकली इलेक्ट्रम वॉलेट उपयोगकर्ता के फंड को हैकर के वॉलेट में भेजने के लिए कोड का उपयोग करता है।
7. क्रिस्टल के निष्कर्षों से पता चला कि अधिकांश धनराशि पते पर भेज दी गई थी: 14MVEf1X4Qmrpxx6oASqzYzJQZUwwG7Fb5 ।

कुछ घंटों के बाद, कथित हैकर ने सभी धनराशि को 1MkM9Q6xo5AHZkLv2sTGLYb3zVreE6wBkj पर स्थानांतरित कर दिया, जहां धनराशि बस गई है। जै के जैसा 11, 2019, 245 बीटीसी 1MkM9Q6xo5AHZkLv2sTGLYb3zVreE6wBkj में रहा । हालाँकि, यह नोट करना महत्वपूर्ण है कि दिसंबर को 27, कथित हैकर ने 5 BTC को पता 1N1Q7fEF6yxnYsMjvH2jtDDzzW6ndLtfEE भेजा ।

मूल हैक के बाद के दिनों में, कथित हैकर ने उन फंडों को स्थानांतरित कर दिया है, जो जनवरी को 0.2 बीटीसी को वापस ले रहा है। 3 से एक बिटफिनेक्स वॉलेट ( 3Kk8aWoGexBo52bY8TJuMseoxKBnGD5QqH ), और जनवरी को 0.41 BTC को वापस लेना। 11 से एक बिनेंस वॉलेट ( 13cRSL82a9x2MMCedFQBCJJ2x5vCgLyCXC )।



18 जनवरी को, कथित हैकर लेनदेन की श्रृंखला के माध्यम से धन ले जाने से फिर से सक्रिय हो गया। उन्होंने अब 3 बीटीसी को एक बिटफिनेक्स वॉलेट ( 33d8Dm2hyJx6NHhep7KM4QKbjTgWpAQQt ) में वापस ले लिया है।

इसके अलावा, कथित हैकर ने 1MkM9Q6xo5AHZkLv2sTGLYb3zVreE6wBkj बटुए से 49 बीटीसी स्थानांतरित किए और उन्हें 13 पतों के भीतर वितरित किया।



जान पर 25, 2019, कथित हैकर ने अपने सभी पर्स से बिटकॉइन में धन वापस ले लिया है। आगे की जांच से पता चला है कि कथित हैकर ने बिटकॉइन के महत्वपूर्ण हिस्से को एक्सचेंज सर्विस मॉर्फटोकन में स्थानांतरित कर दिया था। Bitfinex तक पहुंचने वाले सभी फंडों को मॉर्फटोकन सेवा द्वारा भेजा गया था।

MorphToken अपने API का उपयोग करके लेन-देन की स्थिति की जांच करने की क्षमता प्रदान करता है। इस तरह से हैकर की निकासी श्रृंखला में सभी पर्स की जाँच करने के बाद, हम यह पता लगाने में कामयाब रहे हैं कि कथित हैकर द्वारा कम से कम 243 बीटीसी को इस सेवा में भेजा गया था। लगभग सभी फंड एक्सएमआर के लिए एक्सचेंज किए गए थे। हालांकि, एक छोटी राशि (0.07 बीटीसी) एथेरियम को स्थानांतरित कर दी गई थी।

---

क्रिस्टल के बारे में

क्रिस्टल ऑल-इन-वन ब्लॉकचेन खोजी उपकरण है। कानून प्रवर्तन और वित्तीय संस्थानों के लिए डिज़ाइन किया गया, क्रिस्टल सार्वजनिक ब्लॉकचेन पारिस्थितिकी तंत्र का एक व्यापक दृष्टिकोण प्रदान करता है और संदिग्ध लेनदेन और संबंधित संस्थाओं को मैप करने के लिए उन्नत एनालिटिक्स और डेटा स्क्रैपिंग का उपयोग करता है। चाहे वह बिटकॉइन लेन-देन को वास्तविक दुनिया की इकाई के लिए ट्रैक कर रहा हो, ज्ञात आपराधिक अभिनेताओं के बीच संबंधों का निर्धारण, या संदिग्ध ऑनलाइन व्यवहार का सर्वेक्षण करना, क्रिस्टल आपकी जांच को आगे बढ़ाने में मदद कर सकता है।

अधिक जानने के लिए, क्रिस्टलब्लॉकचैन.कॉम पर जाएँ।

अन्य जांच पर अप-टू-डेट रहने के लिए ट्विटर पर क्रिस्टल का पालन करें: @ क्रिस्टलफ्लोरर।