Het DeFi-project SafeMoon, dat in maart werd misbruikt, resulterend in een netto-gemis van $8,9 miljoen aan BNB, is door de Amerikaanse Securities and Exchange Commission (SEC) aangeklaagd wegens schendingen van de regels voor effecten en fraude.
De fondsen die verband houden met het misbruik zijn verplaatst via gecentraliseerde exchanges (CEXs), waarbij het blockchain-analysebedrijf Match Systems van mening is dat de overdrachten cruciaal kunnen worden voor wetshandhavingsinstanties.
Sean Thornton van Match Systems vertelde dat zij vermoeden dat CEXs werden gebruikt als een tussenliggende schakel in de keten van witwassen van geld:
“Op CEXs konden fondsen worden geruild voor andere tokens en verder worden opgenomen, en accounts op een CEX konden worden geregistreerd voor drops (nep-personen). Gezien het feit dat het vrijwel onmogelijk is om de beweging van fondsen via een CEX te traceren zonder een verzoek van wetshandhavingsinstanties, is een CEX een meer wenselijke optie dan een DEX (gedecentraliseerde exchange) voor een hacker om tijd te winnen en paden te verwarren.”
Match Systems voerde een post-mortem uit van het SafeMoon smart contract en de daaropvolgende beweging van fondsen om het gedrag van de misbruikers te analyseren. Uit de analyse bleek dat de hacker een kwetsbaarheid in het SafeMoon-contract heeft misbruikt die verband houdt met de “Bridge Burn”-functie, waardoor iedereen de “burn”-functie op SafeMoon (SFM)-tokens op elk adres kon aanroepen. Deze aanvallers gebruikten de kwetsbaarheid om tokens van andere gebruikers over te dragen naar het adres van de ontwikkelaar.
De overdracht die door de misbruikers werd uitgevoerd, resulteerde in 32 miljard SFM-tokens die werden verzonden van het liquiditeitspooladres van SafeMoon naar het implementatieadres van SafeMoon. Dit leidde tot een onmiddellijke stijging van de waarde van de tokens. De misbruiker gebruikte de prijsstijging om enkele SFM-tokens te ruilen voor BNB tegen een opgeblazen prijs. Als gevolg daarvan werden 27.380 BNB overgebracht naar het adres van de hacker.
Match System ontdekte dat de kwetsbaarheid in het smart contract niet aanwezig was in de vorige versie en pas verscheen met de nieuwe update op 28 maart, de dag van het misbruik, wat velen doen vermoeden dat een insider betrokken was. Deze speculaties kregen meer brandstof op 1 november toen de SEC aanklachten indiende tegen het SafeMoon-project en drie van zijn leidinggevenden, waarbij ze beschuldigd werden van fraude en schending van effectenwetten.
Thornton gaf aan dat de beschuldigingen van de SEC niet ongegrond zijn, en ze vonden ook bewijs dat kan duiden op de betrokkenheid van het management van SafeMoon bij het misbruik dat heeft plaatsgevonden. Hij voegde eraan toe dat de vraag of dit opzettelijk is gedaan of het gevolg is van nalatigheid van werknemers zal worden bepaald door wetshandhaving.
De SEC beweert dat de CEO van SafeMoon, John Karony, en de chief technical officer, Thomas Smith, beleggersgeld hebben verduisterd en $200 miljoen aan activa uit het bedrijf hebben opgenomen. De leidinggevenden van SafeMoon worden ook geconfronteerd met aanklachten van het Amerikaanse ministerie van Justitie wegens samenzwering tot draadfraude, witwassen van geld en effectenfraude.
De hacker achter de aanval beweerde aanvankelijk dat ze per ongeluk het protocol hadden misbruikt en een communicatiekanaal wilden opzetten om 80% van de fondsen terug te geven. Sindsdien zijn de fondsen die aan de aanvallen zijn gekoppeld, veelvuldig verplaatst via CEXs zoals Binance, waarvan het analytische bedrijf gelooft dat dit cruciaal zal zijn voor wetshandhavingsinstanties om de daders van het misbruik op te sporen.
