Le pirate de Triple-A fait passer 12,4 millions de dollars d’ether par Tornado Cash en 56 dépôts, 11 semaines après le siphonnage des fonds de la société de paiement singapourienne

L’attaquant qui a siphonné en juillet les fonds de la société de paiement singapourienne Triple-A a commencé à brouiller les pistes. Vendredi, environ 4 970 ethers, d’une valeur d’environ 12,4 millions de dollars, ont été envoyés dans Tornado Cash en 56 dépôts distincts, selon la société de sécurité blockchain Salus, dont les conclusions ont été rapportées par crypto.news. Il y a eu 49 dépôts de 100 ethers et sept de 10.

Tornado Cash est un mixeur, un service utilisé pour masquer l’origine des cryptomonnaies. Les fonds avaient été répartis entre deux portefeuilles le 6 septembre puis regroupés dans un seul le 9 octobre avant le début des dépôts, a rapporté Bloomingbit.

Triple-A a détecté l’intrusion le 25 juillet. Dans un rapport post-mortem publié en août, l’entreprise a indiqué que l’attaquant avait trompé un membre de son équipe d’ingénierie dans le cadre d’une campagne comprenant une usurpation d’identité et un appel en direct, puis avait utilisé cet accès pour installer un logiciel malveillant, accéder aux bases de données de production et ordonner des retraits avec des identifiants légitimes. Des portefeuilles sur TRON, Ethereum, Polygon et Arbitrum ont été touchés.

Le rapport post-mortem ne chiffre pas la perte. Des estimations extérieures l’évaluent à environ 11,8 millions de dollars. Triple-A affirme que les portefeuilles contenaient ses propres actifs, qu’elle a absorbé la perte sur ses réserves, et que l’argent des clients se trouve sur des comptes fiduciaires distincts auprès de banques, dont DBS et Standard Chartered, et n’a pas été exposé.

L’entreprise a chargé Sygnia de l’enquête et zeroShadow du traçage des fonds, et a informé la Monetary Authority of Singapore et la police de Singapour. Triple-A avait alors averti que la récupération d’actifs numériques volés est difficile et lente.