Убытки от взлома кошелька Atomic Wallet превысили $35 млн

Пользователи децентрализованного кошелька Atomic Wallet потеряли в результате взлома цифровые активы не менее чем на $35 млн, сообщил ончейн-исследователь под ником ZachXBT.

Update: A new largest victim was found on Tron with 7.95M USDT stolen,

The five biggest losses account for $17M.

My graph has now surpassed $35M in total stolen. pic.twitter.com/eqfXkm9vlL

— ZachXBT (@zachxbt) June 4, 2023

На пять крупнейших потерь пришлось $17 млн, у одного из этих пользователей украли $7,95 млн.

По оценке эксперта убытки жертв могут превысить $50 млн, поскольку он продолжает находить все больше пострадавших.

«Мы получили сообщения о компрометации кошельков. Делаем все возможное для расследования и анализа ситуации», — написала команда Atomic Wallet.

По словам разработчиков, последнюю несанкционированную транзакцию они зафиксировали 3 июня, инцидент затронул «менее 1% ежемесячных активных пользователей». Приложение насчитывает более 5 млн клиентов.

We have received reports of wallets being compromised. We are doing all we can to investigate and analyse the situation. As we have more information, we will share it accordingly.

For any questions and concerns, contact support@atomicwallet.io

— Atomic — Crypto Wallet (@AtomicWallet) June 3, 2023

По заявлению команды Atomic Wallet они передали адреса пострадавших пользователей ведущим биржам и фирмам по блокчейн-аналитике для помощи в расследовании.

Компания SlowMist подключилась к отслеживанию украденных средств и предложила пострадавшим пользователям заполнить форму, чтобы специалисты могли заняться поиском активов.

If you were a victim of the @AtomicWallet hack, we kindly request you to fill out the form below, so we can assist you in the recovery process: https://t.co/solekNMTOl

— SlowMist (@SlowMist_Team) June 4, 2023

ZachXBT также попросил прислать ему данные. Исследователь заявил, что ему удалось спасти для одной из жертв $1 млн. Подробностей он не раскрыл, за исключением факта помощи со стороны основателей MEV-проекта Jito Labs на Solana.

A huge shoutout goes to @buffalu__ @brian_smith_0 for helping us successfully rescue $1m from the Atomic Wallet hacker for one of the victims.

— ZachXBT (@zachxbt) June 4, 2023

Эксперт отметил, что на фоне инцидента в Twitter появились мошенники, которые рассылают фишинговые сообщения о возмещении средств жертвам взлома.

Be careful phishing scammers have already started spamming fake Atomic Wallet refund tweets on Twitter to prey on desperate victims. pic.twitter.com/ZuhJpGg5Eu

— ZachXBT (@zachxbt) June 3, 2023

Несмотря на утверждение Atomic Wallet, что атака прекратилась, ZachXBT рекомендовал пользователям вывести активы из приложения.

Atomic Wallet — некастодиальный кошелек, что предполагает самостоятельное хранение закрытых ключей.

В условиях использования приложения говорится:

«Ни при каких обстоятельствах Atomic Wallet не несет перед вами ответственности за: […] любое несанкционированное использование адреса вашего кошелька и/или закрытого ключа из-за того, что вы не поддерживаете конфиденциальность».

Один из комментаторов обратил внимание на результаты аудита Atomic Wallet специалистами по безопасности компании Least Autority. В феврале 2022 года фирма потребовала от команды кошелька привести код приложения в соответствие рекомендациям и требованиям отчета от апреля 2021 года.

«Мы выявили несколько критических для безопасности проблем, делающих нынешних пользователей Atomic Wallet уязвимыми для целого ряда атак, которые могут привести к полной потере средств пользователей. В частности мы обнаружили, что средства пользователей подвергаются повышенному риску из-за текущего использования и реализации криптографии», — уточнили в Least Autority.

Эксперты настоятельно рекомендовали уведомить о проблемах клиентов Atomic Wallet и приостановить использование кошелька.

⚠️ Can you explain this, security disclosure since 2021!!
I’M OUT❗❗ ⚠️https://t.co/DWO9qTV0Wq

— Lee maddeys (@MaddeysLee) June 5, 2023

Напомним, за май DeFi-проекты потеряли в результате эксплойтов $19,69 млн, а ущерб от схем rug pull более чем вдвое превысил эту цифру и достиг $45 млн.