Бывших студентов МТИ обвиняют в хищении 25 млн долларов в криптовалюте за 12 секунд
Министерство юстиции США предъявило обвинения двум братьям, бывшим студентам Массачусетского технологического института, которые якобы манипулировали блокчейном Ethereum и украли криптовалюту на сумму 25 млн долларов с помощью «уникальной схемы». Причем сама атака заняла примерно 12 секунд.
Братья Антон Перейро-Буэно (Anton Peraire-Bueno) и Джеймс Перейро-Буэно (James Pepaire-Bueno) были арестованы в начале текущей недели в Бостоне и Нью-Йорке. Сообщается, что это дело расследовалось отделом киберрасследований Налогового управление США при содействии Департамента полиции Нью-Йорка и Таможенно-пограничной службы США. И, по мнению властей, хакерская схема братьев была настолько сложной, что «ставит под сомнение саму целостность блокчейна».
«Братья, изучавшие информатику и математику в одном из самых престижных университетов мира, предположительно использовали свои специальные навыки и опыт для взлома и манипулирования протоколами, на которые полагаются миллионы пользователей Ethereum по всему миру. И как только они привели свой план в действие, ограбление заняло всего 12 секунд», — рассказывает прокурор США Дэмиан Уильямс (Damian Williams).
По версии следователей, бывшие студенты МТИ манипулировали процессами валидации транзакций в блокчейне, получая доступ к незавершенным приватным транзакциям, и вносили в них изменения, получая криптовалюту жертв и отклоняя последующие просьбы вернуть украденные средства. По сути, схема эксплуатировала блокчейн Ethereum в моменты после проведения транзакций, но до их добавления в блокчейн.
Затем хакеры якобы предприняли шаги по сокрытию своих незаконных доходов. Согласно обвинительному заключению, во время подготовки к атаке (которая произошла в декабре 2022 года) братья изучили торговые модели своих жертв и приняли меры, чтобы скрыть свои личности и похищенные средства. Так, они использовали несколько криптовалютных адресов, услуги зарубежных бирж и создавали подставные компании. После атаки они перемещали похищенные активы с помощью серии транзакций, скрывающих их источник и принадлежность.
Утверждается, что при планировании и осуществлении своей атаки братья предприняли следующие шаги:
создание ряда подставных валидаторов Ethereum, скрывая свои личности с помощью фальшивых компаний, криптовалютных адресов-посредников и иностранных бирж (суммарно потратив на это 529,5 ETH, то есть около 880 000 долларов);
проведение серии тестовых «транзакций-приманок», предназначенных для выявления конкретных переменных, которые с наибольшей вероятностью привлекут MEV-ботов, специализирующихся на арбитраже, которые затем станут жертвами эксплоита;
выявление и эксплуатация уязвимости в коде ретранслятора MEV-Boost, из-за которой тот преждевременно раскрывал содержимое предлагаемого блока;
изменение блока в свою пользу;
публикация измененного блока в блокчейне Ethereum, что в итоге привело к краже криптовалюты на общую сумму около 25 млн долларов США.
Кроме того, отмечается, что во время подготовки обвиняемые искали в интернете информацию о проведении атаки, сокрытии своей причастности к Ethereum-эксплоиту, отмывании преступных доходов через криптовалютные биржи, найме адвокатов с опытом работы с криптовалютами, процедурах экстрадиции и так далее.
Так, среди поисковых запросов обвиняемых были: «как отмыть криптовалюту», «биржи без KYC», «лучшие криптоюристы», «срок давности по отмыванию денег» и «экстрадирует ли США в [иностранное государство]».
«Предположительно, братья совершили первую в своем роде манипуляцию с блокчейном Ethereum, мошенническим путем получив доступ к предстоящим транзакциям, изменив движение цифровой валюты и в конечном итоге похитив у своих жертв 25 миллионов долларов в криптовалюте», — сообщают правоохранители.
Теперь Антону и Джеймсу Перейро-Буэно предъявлены обвинения в мошенничестве с использованием электронных средств связи, сговоре с целью совершения мошенничества с использованием электронных средств связи и отмывании денег. В случае вынесения обвинительного приговора каждому из них грозит максимальное наказание в виде 20 лет лишения свободы по каждому пункту обвинения.