Hackeo de WazirX: una auditoría exonera a Liminal Custody de su participación en una violación de 230 millones de dólares

El proveedor de custodia de criptomonedas Liminal Custody afirma que una auditoría independiente concluyó que el hackeo de 230 millones de dólares a WazirX no se originó como resultado de vulnerabilidades en su infraestructura.

Según una publicación del blog de Liminal del 9 de septiembre, una auditoría realizada por Grant Thornton confirmó que la infraestructura de Liminal Custody no estuvo involucrada en el ataque informático de 230 millones de dólares a WazirX. Según se informa, los hallazgos revelaron que la violación ocurrió fuera de la infraestructura de Liminal.

Los sistemas de Liminal no fueron vulnerados por los piratas informáticos de WazirX

Los atacantes detrás de la violación de WazirX desviaron más de 230 millones de dólares en varias criptomonedas del intercambio de criptomonedas, obligándolo a suspender todas las operaciones.

En su primer informe post mortem, WazirX señaló discrepancias entre la interfaz de Liminal y los datos de transacción como una posible fuente de la violación.

Sin embargo, la auditoría de Grant Thornton no encontró evidencia de ningún compromiso dentro de los sistemas de Liminal.

Liminal Custody afirmó que su “infraestructura frontend y backend es segura”, sin signos de vulnerabilidades que puedan afectar el flujo de trabajo de las transacciones.

El custodio sugirió que las discrepancias entre las cargas de datos generadas por su sistema y las recibidas del cliente podrían deberse a vulnerabilidades en la infraestructura del cliente o en los sistemas frontend del custodio.

Liminal todavía está esperando una “revisión completa de extremo a extremo” por parte de sus auditores, agregó el blog.

Además, la compañía enfatizó que su modelo de billetera multifirma garantiza que las claves de los clientes permanezcan con ellos y que todas las transacciones “se originan primero en el extremo de nuestro cliente”, lo que hace imposible que Liminal inicie transacciones de forma independiente.

En contraste con los hallazgos recientes, el análisis forense independiente de WazirX realizado por Mandiant Solutions, una subsidiaria de Google, no encontró evidencia de un compromiso en las tres computadoras portátiles utilizadas por el intercambio para firmar transacciones.

Esto deja preguntas sin respuesta sobre el verdadero origen de la violación.

Los esfuerzos para recuperarse del hackeo de WazirX fueron en vano

El hackeo de WazirX del 18 de julio se destaca como una de las mayores violaciones de seguridad del año en el sector de las criptomonedas.

En el ataque, más de 15.000 Ethereum y varios otros tokens fueron robados de una billetera multifirma, lo que afectó al 45% de los fondos de los clientes y dejó a WazirX luchando por mantener una relación de garantía de 1:1, poniendo en riesgo la estabilidad de la plataforma.

Los esfuerzos para recuperar los activos incluyeron la presentación de un Primer Informe de Información (FIR) ante la policía de Delhi el 6 de agosto y el lanzamiento de un programa de recompensas, pero estos intentos fueron en vano.

Mientras tanto, los atacantes han comenzado a convertir y lavar fondos robados a través de Tornado Cash, un mezclador de criptomonedas.

El 9 de septiembre, datos de Arkham revelaron una transferencia de más de 5.000 ETH, valorados en alrededor de 11 millones de dólares, a una nueva dirección.

Poco después, cinco transacciones movieron $1,2 millones adicionales en tokens a través de Tornado Cash.

Al momento de escribir este artículo, se habían lavado al menos 7200 ETH por un valor aproximado de 16,78 millones de dólares y los perpetradores aún tenían 107 millones de dólares en varios tokens en su billetera principal.

Mientras tanto, WazirX está llevando a cabo un Plan de Acuerdo de Singapur, un proceso de reestructuración bajo las leyes y regulaciones de insolvencia del país, que proporciona a una empresa en dificultades financieras una forma de reestructurar sus deudas bajo la supervisión del Tribunal Superior de Singapur.