Kako su dva brata navodno ukrala 25 milijuna dolara u pljački Ethereuma koja je trajala 12 sekundi • The Register

Ministarstvo pravosuđa SAD-a optužilo je dvojicu braće zbog optužbi da su iskorištavali softver otvorenog koda koji se koristi u svijetu blockchaina Ethereuma kako bi ugrabili 25 milijuna dolara.

Par – informatičari Anton, 24, i James Pepaire-Bueno, 28 – optuženi su za izvođenje onoga što je zamjenica glavnog državnog odvjetnika Lisa Monaco nazvala “tehnološki sofisticiranom, vrhunskom shemom koju su planirali mjesecima”.

“Šema optuženih dovodi u pitanje sam integritet blockchaina”, dodao je američki odvjetnik Damian Williams.

“Braća, koja su studirala informatiku i matematiku na jednom od najprestižnijih sveučilišta na svijetu, navodno su koristila svoje specijalizirane vještine i obrazovanje za petljanje i manipuliranje protokolima na koje se oslanjaju milijuni korisnika Ethereuma diljem svijeta. A nakon što su stavili njihov plan u akciju, njihova pljačka je trajala samo 12 sekundi.”

Malo pozadine

Blok lanci kriptovaluta, uključujući onaj koji stoji iza Ethereuma i njegove izvorne kovanice Ether, prilično su decentralizirana datoteka dnevnika prijenosa samo za dodavanje i koriste kriptografiju za održavanje integriteta dnevnika. To čini blockchain u biti javnom knjigom svake pojedine transakcije koja se dogodi, a korisnici mogu obavljati transakcije samo novcem koji stvarno imaju. Te su transakcije grupirane u blokove koji su lančano povezani, otuda i naziv.

I cijeli niz kriptovaluta – od stabilnih kovanica kao što je Tether koji je vezan za jedan američki dolar po komadu, do roller-coaster meme-kovanica kao što su Shiba Inu i Pepe – koristi Ethereum blockchain; nije samo Eter.

Upravljanje Ethereum blockchainom povjereno je validatorima, koji su obično automatizirani sustavi kojima upravljaju ljudski operateri. Kao što ime sugerira, botovi validatora potvrđuju da su predloženi blokovi Ethereum transakcija valjani i šalju te blokove komisiji kolega validatora da ih odobri glasovanjem i sigurno ih doda u lanac.

Općenito govoreći, svaki validator mora uložiti 32 Ethera (trenutačno ekvivalentno 100.000 USD). Kada se nasumično odabere da predloži novi blok za lanac, validator ima otprilike 12 sekundi da dovrši tu operaciju i ponudi važeći blok svojim kolegama da ga provjere i prihvate za lanac. Ako se validatori loše ponašaju, suočavaju se s gubitkom svog udjela; ako postupe prema očekivanjima, bit će nagrađeni.

U praksi postaje malo kompliciranije. Odakle uglavnom dolaze ovi predloženi blokovi? Pa, dok se čeka potvrda na blockchainu, transakcije na čekanju nalaze se u javnom pripremnom području koje se naziva memorijski bazen ili mempool. Botovi koji se zovu pretraživači pretražuju te transakcije na čekanju i pomoću zabavnih algoritama sastavljaju pakete transakcija koje botovi graditelji spakiraju u blokove koje validatori razmatraju za lanac. Zapravo, botovi za izradu također mogu koristiti zanimljive algoritme za kombiniranje i optimiziranje skupova višestrukih pretraživača za izradu ovih predloženih transakcijskih blokova.

Graditelji će dobiti nagradu u smislu naknada i drugih izvora kada njihovi predloženi blokovi uđu u lanac, a validatori koji odobravaju blokove dobivaju dio tog prihoda.

U interesu je validatora da odaberu blokove koji su najprofitabilniji, u interesu je graditelja da konstruiraju blokove koji izgledaju atraktivno validatorima, a korisnici blockchaina plaćaju naknade da bi se njihove transakcije preuzele. Graditelji i njihovi tragači mogu naručiti transakcije u blokovima kako im odgovara; transakcije se izvršavaju tim redoslijedom kada blok dobije zeleno svjetlo.

Graditelji nude svoje predložene blokove validatorima putem releja. Releji daju samo dovoljno informacija validatorima da ti botovi odrede koliko će dobiti od prihvaćanja određenog bloka, a ne specifičnosti transakcija; kada validator prihvati blok za obradu, dobiva sve pojedinosti od releja za analizu i potvrdu. Devet od deset robota za provjeru valjanosti koristi program otvorenog koda pod nazivom MEV-Boost za komunikaciju s više releja kako bi odabrali blok s najvećom nagradom iz čitavog niza graditelja koji se natječu za isplatu.

Ovaj bi dizajn trebao biti otporan na manipulacije i druge smicalice, a istovremeno osigurava da svi ti bot operateri budu plaćeni za održavanje ovog decentraliziranog sustava. Međutim, prema optužnici [PDF] otkriveno u srijedu, braća su iskoristila slabost u kodu projekta MEV-Boost kako bi pobjegla s milijunima u kripto.

MEV u MEV-Boostu označava maksimalnu ili maksimalnu vrijednost koja se može izdvojiti i prilično je složena, ali u biti to je ono što validatori, graditelji i njihovi pretraživači mogu napraviti izradom, predlaganjem i potvrđivanjem bloka pažljivo odabranih i naručenih transakcija iz mempool međuspremnik. I kao što smo rekli, postoje različiti načini na koje ti sudionici mogu zaraditi na ovom procesu provjere valjanosti.

Na primjer, ništa ne sprječava one koji pretražuju Mempool da rade valutne arbitraže. Bot za pretraživanje može iz mempool transakcija utvrditi da korisnici kupuju određenu kriptovalutu, što će povećati tržišnu vrijednost tog tokena. Pretraživač može formirati skup transakcija koji počinje tako što operater robota nabavi tu kriptovalutu, zatim uključuje tuđe mempool transakcije na čekanju za taj novčić i završava s prodajom novčića od strane robota. Ako taj pažljivo raspoređeni paket uđe u ponuđeni blok, a odabere ga validator i prihvati ga u lanac, transakcije se izvršavaju redom, a tražitelj može zaraditi od prodaje novčića po višoj cijeni nego što je kupljen jer je tržišna vrijednost rasla tijekom procesa. Pretraživač može ponuditi plaćanje graditeljima blokova za korištenje njegovog paketa znajući da će i dalje donositi profit.

Pretraživači i graditelji postavljaju redoslijed transakcija u predloženom bloku, ali to mogu i validatori: Validator kojeg je sustav odabrao da osigura sljedeći blok može raditi sam i ponuditi vlastiti blok na odobrenje odbora. Zbog toga releji obično zadržavaju sve pojedinosti o predloženim blokovima sve dok validator ne obeća, koristeći digitalni potpis prema Ministarstvu pravosuđa SAD-a, potvrditi odabrani blok. U suprotnom, validator bi mogao pregledati sve predložene blokove, odabrati profitabilni, a zatim stvoriti vlastiti blok na temelju tog ponuđenog i proslijediti ga komisiji na prihvaćanje, zajebavajući tražitelje i graditelje uzimajući nagrade.

Izvođenje 'pljačke od 25 milijuna dolara u 12 sekundi'

Tužitelji tvrde da je par pronašao grešku u relejnom kodu projekta MEV-Boost koja bi se mogla iskoristiti za prerano objavljivanje svih detalja predloženog bloka. Stoga je dvojac navodno postavio validatore koji su iskorištavali relej za predaju kompletnog predloženog bloka prerano, preinačili popis transakcija u svoju korist i poslali blok na odobrenje komitetu, čime su zaradili veliku dobit.

U tužbi se tvrdi da su braća u prosincu 2022. osnovala fiktivnu tvrtku pod nazivom Pine Needle Inc kako bi obavljala svoje bankarske i mjenjačke aktivnosti kriptovaluta. Konkretno, nisu željeli poslovati s kripto-mjenjačnicama koje su imale politiku “upoznaj svog kupca” i vršile online pretraživanja za “kako oprati kripto” i “cefi mjenjačnice bez kyc-a”, stoji u sudskim dokumentima. Muškarci su također izvršili hrpu transakcija kako bi promatrali kako su tražilice kojima su upravljala tri određena trgovca reagirali, tvrdi se.

Između veljače i ožujka sljedeće godine, navodi se u pritužbi, dvojac brata i sestre poslao je 529,5 Ether kovanica (vrijednih 880 tisuća dolara u to vrijeme) u Ethereum mrežu i upotrijebio njih 512 za ulaganje 16 validatora po 32 Ethera po komadu.

Dana 2. travnja odlučili su izvršiti eksploataciju, rekli su tužitelji. Prvo je dvojac čekao da se nasumično odabere jedan od njihovih validatora kako bi osigurao sljedeći blok za Ethereum lanac. Nakon što se to dogodilo, izdali su osam naloga za posebno nelikvidne kriptovalute, rečeno je.

Tvrdi se da su automatizirani pretraživači trojice trgovaca zagrizli mamac i ponudili pakete transakcija graditeljima blokova koji su imali za cilj postići sljedeće: kupiti 25 milijuna dolara tih nelikvidnih kriptovaluta koristeći stabilne kovanice i drugu likvidnu imovinu, pokrenuti transakcije braće i zatim prodati tu kriptovalutu po višoj cijeni i staviti razliku u džep.

Taj je prijedlog došao do bratovog validatora putem releja, kaže se, a validator je navodno iskoristio taj relej – poslavši mu lažni digitalni potpis – koji je uzrokovao otkrivanje cijelog sadržaja predloženog bloka. Validator je tada navodno izmijenio popis transakcija na: Neka trgovci kupe tu nelikvidnu kriptovalutu; i rasprodati sve posjede braće u tim nelikvidnim novčićima – onima koji su upravo kupljeni kao mamac i onima iz prethodno navedenih opažanja.

Navodno izmijenjeni blok poslan je na provjeru glasovanjem odbora i prihvaćen u lanac. Rečeno nam je da je to zapravo natjeralo trgovce da kupe nelikvidnu kriptovalutu od dvojca, koji su u zamjenu dobili 25 milijuna dolara u stabilnim kovanicama i drugoj likvidnoj imovini. Trgovci su u međuvremenu dobili brdo sada vrlo nelikvidnih novčića koji su odjednom postali prilično bezvrijedni; federalci su rekli da je fond likvidnosti za kriptovalutu ispražnjen.

Priča se da je tih 25 milijuna dolara nestalo iz ruku trgovaca u samo 12 sekundi. Što se tiče svijeta Ethereuma u to vrijeme, dogovor je bio izvanredan.

Osjećam se nesretno, Google

Dan nakon navodne pljačke, James Peraire-Bueno navodno je zatražio od jedne od banaka fiktivne tvrtke sef dovoljno velik da u njega stane prijenosno računalo. Sljedeći dan, tvrde federalci, također je zatražio od operatera web stranice koja je ugostila izvorni kod za MEV-Boost za njihovu politiku bilježenja IP adresa posjetitelja.

U međuvremenu, navodi se u pritužbi, Anton Peraire-Bueno tražio je na internetu “vrhunske kripto odvjetnike” i pitao stvari poput “koliko je dugačak naš kip [sic] ograničenja” za zločine poput elektroničke prijevare i pranja novca.

Ako je to točno, to bi značilo da su braća izradila plan koji je daleko od besprijekorne, unatoč tome što su navodno uspjeli iskoristiti višemilijunski podvig.

U tužbi se nadalje tvrdi da su žrtva trgovine, njegov odvjetnik i predstavnik projekta Ethereum pokušali uvjeriti braću Peraire-Bueno da vrate svoju dobit. Dalje se navodi da su, umjesto da budu čisti, nastavili s pranjem novca kroz nekoliko različitih kanala. Oko 3 milijuna dolara navodno je zamrznula strana policija.

U međuvremenu je 20 milijuna dolara na kraju usmjereno u drugu lažnu tvrtku, Birch Bark Trading LLC, navodi se u pritužbi. Odatle bi ga par trebao prebaciti na svoj brokerski račun. Prema federalcima, nisu znali kako to učiniti, niti kakve bi bile posljedice. Sudski dokumenti tvrde da su njihova Google pretraživanja uključivala stvari poput “pranja novca” i “izručuju li Sjedinjene Države [foreign country].” Rečeno nam je da je do 8. prosinca 19,6 milijuna dolara stiglo na brokerski račun.

Tužitelji su ovog tjedna najavili uhićenja para. Obojica muškaraca – optuženi za udruživanje radi počinjenja elektroničke prijevare, elektroničku prijevaru i udruživanje radi počinjenja pranja novca – suočavaju se s mogućom kaznom zatvora do 20 godina za svaku od tri točke. Također će morati vratiti svu nezakonito stečenu korist ako budu osuđeni. ®