Oplichters halen €1,8 miljoen uit nepbridge
Gekopieerd netwerknummer leek echt bij controle
Onbekende exploitanten hebben zondag via een nepversie van het netwerk van blockchainproject GIWA circa €1,8 miljoen aan ether weggehaald uit een bridge die de decentrale cryptobeurs DYORSWAP had geïntegreerd. Die bridge verbond Ethereum met een nagemaakt netwerk dat zich voordeed als de nog te lanceren blockchain van GIWA.
De nepketen werkte als een eigen blockchain, met een verbinding voor het overboeken van ether en infrastructuur die transacties op Ethereum publiceerde. De exploitanten gebruikten bovendien netwerknummer 9134, hetzelfde nummer dat GIWA voor zijn echte netwerk had aangekondigd. DYORSWAP zegt dat de overeenkomst de keten bij een eerste controle echt deed lijken en integreerde hem vervolgens.
Op zaterdag 26 september 2026 werd de bridge op Ethereum aangemaakt. Slechts 39 blokken later stortten drie adressen in dezelfde seconde samen precies 0,4 ether. Twee daarvan deden daarmee hun eerste uitgaande transactie. DYORSWAP ziet in de timing en het gedrag een sterke aanwijzing voor vooraf klaargezette testwallets, maar onderzoekt deze groep wallets nog.
Ether verloor zijn dekking
In totaal stuurden 1.335 adressen circa 768 ether naar de bridge. Het werkelijke aantal personen en klanten van DYORSWAP is onbekend. De reconstructie telt afzonderlijk 298 wallets die via DYORSWAP op de nepketen handelden.
De exploitanten haalden zondag circa 766 ether uit de bridge op Ethereum. Daardoor waren de zichtbare saldi en tegoeden op de nepketen ongedekt. DYORSWAP stelt dat zijn eigen contracten de tegoeden niet weghaalden; de door de onbekende exploitanten beheerste bridge deed dat.
GIWA waarschuwde die ochtend dat de lancering van zijn echte netwerk nog moest volgen en dat rondgaande informatie over een verbinding met het netwerk vals was. Het gekopieerde netwerknummer was echt. Het netwerk niet.
Meer dan 200 ether uitgekeerd
DYORSWAP kon veel van de transacties achteraf reconstrueren, omdat de infrastructuur van de nepketen gegevens op Ethereum had gezet. Steekproeven kwamen volgens het platform exact of binnen circa 1,6 procent overeen met eerder vastgelegde livegegevens. De laatste twee minuten vallen buiten de reconstructie.
Het platform zegt uit eigen middelen meer dan 200 ether aan getroffen gebruikers te hebben uitgekeerd. Dat is meer dan een kwart van de circa 766 ether die uit de bridge verdween, maar het exacte uitgekeerde bedrag en de verdeling van de schade blijven onbekend. DYORSWAP erkent dat de vergoeding slechts een deel van de verliezen dekt.
Maandag om 11.20 uur UTC waren circa 227 ether, 288 ether en 250 van 251 ether via de cryptomixer Tornado Cash geleid. Op dat meetmoment bleef buiten de mixer minder dan 2 ether over. DYORSWAP onderzoekt onder meer de maker van de bridge, vroege testwallets, de ontvanger van de onttrekking en de verdere geldstromen. De identiteit van de exploitanten blijft onbekend.
Voor wie het op de blockchain wil naslaan: de bridge staat op 0xbA9938C0b96A70E6479661B915e7E481fE435ab2 en werd aangemaakt door 0x119e68B59C44291F76324c76377B776D0b4Dd38c. De aanmaaktransactie en de onttrekking zijn eveneens openbaar.