Memilah kehancuran abnormal aset senilai $ 100 juta di bursa Iran

Penulis: Lisa & 23pds

Editor: Sherry

Judul asli: Hampir $100 juta dihancurkan: Menyisir pencurian bursa Iran Nobitex

Latar Belakang

Pada 18 Juni 2025, detektif blockchain ZachXBT mengungkapkan bahwa platform perdagangan kripto terbesar di Iran, Nobitex, diduga mengalami serangan hacker, yang melibatkan transfer aset besar yang tidak normal di beberapa blockchain.

!

()

SlowMist( Untuk konfirmasi lebih lanjut, aset yang terpengaruh dalam peristiwa ini mencakup jaringan TRON, EVM, dan BTC, dengan estimasi awal kerugian sekitar 8,170 juta dolar.

! [])https://img-cdn.gateio.im/webp-social/moments-1339b49fc2c794c2a593134267dcdb51.webp(

)(

Nobitex juga mengeluarkan pengumuman yang mengonfirmasi bahwa beberapa infrastruktur dan dompet panas memang mengalami akses tidak sah, tetapi menekankan bahwa keamanan dana pengguna terjamin.

![])https://img-cdn.gateio.im/social/moments-d9a11bfaa7f33c82010d61b54d4a735e(

)(

Perlu dicatat bahwa penyerang tidak hanya mentransfer dana, tetapi juga secara aktif mentransfer sejumlah besar aset ke alamat penghancuran yang dibuat khusus, dan aset yang "dibakar" bernilai hampir $100 juta.

! [])https://img-cdn.gateio.im/webp-social/moments-b3986d41b3457cf3b763dce797006ac1.webp(

)(

Penataan Garis Waktu

6 Juni

• ZachXBT mengungkapkan bahwa pertukaran kripto Iran Nobitex dicurigai diretas, dan sejumlah besar transaksi penarikan yang mencurigakan terjadi di rantai TRON. Slowmist )SlowMist( lebih lanjut mengkonfirmasi bahwa serangan itu melibatkan beberapa rantai, dengan perkiraan awal sekitar $ 81,7 juta dalam kerusakan.
• Nobitex menyatakan bahwa tim teknis telah mendeteksi akses ilegal terhadap sebagian infrastruktur dan dompet panas, dan segera memutuskan antarmuka eksternal serta memulai penyelidikan. Sebagian besar aset disimpan di dompet dingin dan tidak terpengaruh, invasi kali ini hanya terbatas pada sebagian dompet panas yang digunakan untuk likuiditas sehari-hari.
• Organisasi hacker Predatory Sparrow )Gonjeshke Darande( mengklaim bertanggung jawab atas serangan ini, dan mengumumkan akan merilis kode sumber dan data internal Nobitex dalam 24 jam.

! [])https://img-cdn.gateio.im/webp-social/moments-57e775bc8218c3e9e044b647e8b314a1.webp(

)(

19 Juni

• Nobitex mengeluarkan pernyataan keempat, menyatakan bahwa platform telah sepenuhnya memblokir jalur akses eksternal ke server, dan transfer dompet panas adalah "migrasi proaktif yang dilakukan oleh tim keamanan untuk melindungi dana". Sementara itu, pihak resmi mengkonfirmasi bahwa aset yang dicuri telah dipindahkan ke beberapa dompet dengan alamat non-standar yang terdiri dari karakter acak, yang digunakan untuk menghancurkan aset pengguna, dengan total sekitar 100 juta dolar.
• Kelompok peretas Predatory Sparrow )Gonjeshke Darande( mengklaim telah membakar aset kripto senilai sekitar $ 90 juta dan menyebutnya "alat penghindaran sanksi."
• Organisasi hacker Predatory Sparrow )Gonjeshke Darande( mengungkapkan kode sumber Nobitex.

![])https://img-cdn.gateio.im/webp-social/moments-c131d3eb9f871935296e80c6952a8b00.webp(

)(

Sumber Kode

Berdasarkan informasi kode sumber yang dirilis oleh penyerang, informasi folder adalah sebagai berikut:

! [])https://img-cdn.gateio.im/webp-social/moments-8779c04a8cb0dabdf261eca82e0bb553.webp(

Secara spesifik, ini mencakup hal-hal berikut:

! [])https://img-cdn.gateio.im/social/moments-f863fe6ffd680ca3c4ee8a84a7eb9724(

Sistem inti Nobitex sebagian besar ditulis dalam Python dan menggunakan K8s untuk penyebaran dan pengelolaan. Berdasarkan informasi yang diketahui, kami menduga bahwa penyerang mungkin telah melanggar batas operasional, sehingga masuk ke jaringan internal, analisis ini tidak akan dibahas lebih lanjut.

Analisis MistTrack

Penyerang menggunakan beberapa "alamat penghancuran" yang tampaknya sah, tetapi sebenarnya tidak dapat dikendalikan untuk menerima aset, sebagian besar alamat ini mematuhi aturan verifikasi format alamat on-chain, dan dapat berhasil menerima aset, tetapi setelah dana ditransfer, itu setara dengan penghancuran permanen, dan pada saat yang sama, alamat-alamat ini juga memiliki kata-kata emosional dan provokatif, yang agresif. Beberapa "alamat penghancuran" yang digunakan oleh penyerang adalah sebagai berikut:

• TKFuckiRGCTerroristsNoBiTEXy2r7mNX
• 0xffFFfFFffFFffFfFffFFfFfFfFFFFfFfFFFFDead
• 1FuckiRGCTerroristsNoBiTEXXXaAovLX
• DFuckiRGCTerroristsNoBiTEXXXWLW65t
• FuckiRGCTerroristsNoBiTEXXXXXXXXXXXXXXXXXXX
• UQABFuckIRGCTerroristsNOBITEX1111111111111111_jT
• one19fuckterr0rfuckterr0rfuckterr0rxn7kj7u
• rFuckiRGCTerroristsNoBiTEXypBrmUM

Kami menggunakan alat analisis anti pencucian uang dan pelacakan on-chain MistTrack, kerugian Nobitex tidak sepenuhnya terhitung sebagai berikut:

![])https://img-cdn.gateio.im/webp-social/moments-c317bfd740c47bfe588f2d7a2fa1b1a3.webp(

Menurut analisis MistTrack, penyerang telah menyelesaikan 110.641 transaksi USDT dan 2.889 transaksi TRX di TRON:

![])https://img-cdn.gateio.im/webp-social/moments-c87d899211671a67e483c50e7cc3e018.webp(

Rantai EVM yang dicuri oleh penyerang terutama mencakup BSC, Ethereum, Arbitrum, Polygon, dan Avalanche, selain dari mata uang utama di setiap ekosistem, juga mencakup berbagai token seperti UNI, LINK, SHIB.

! [])https://img-cdn.gateio.im/webp-social/moments-0740e6f7bc4fcbfd5bd46946e7ea1126.webp(

Di Bitcoin, penyerang mencuri total 18,4716 BTC, sekitar 2.086 transaksi.

![])https://img-cdn.gateio.im/webp-social/moments-b3facbb7aaa47e0912f3c595db7782b2.webp(

Di Dogechain, penyerang mencuri total 39.409.954,5439 DOGE, sekitar 34.081 transaksi.

![])https://img-cdn.gateio.im/webp-social/moments-5fca2e6c61176f45528b75f65d273a78.webp(

Di Solana, penyerang mencuri SOL, WIF, dan RENDER:

! [])https://img-cdn.gateio.im/webp-social/moments-265a0bee1fca4b3f98291fc422ddb1a6.webp(

Di TON, Harmony, dan Ripple, penyerang mencuri masing-masing 3.374,4 TON, 35.098.851,74 ONE, dan 373.852,87 XRP:

! [])https://img-cdn.gateio.im/webp-social/moments-3c7659ab01b16e5822b07a295c799ca8.webp(

MistTrack telah menambahkan alamat terkait ke dalam database alamat jahat dan akan terus memantau perkembangan terkait di blockchain.

Kesimpulan

Peristiwa Nobitex sekali lagi mengingatkan industri: keamanan adalah keseluruhan, platform perlu memperkuat perlindungan keamanan lebih lanjut, menggunakan mekanisme pertahanan yang lebih canggih, terutama bagi platform yang menggunakan dompet panas untuk operasi sehari-hari, SlowMist ) menyarankan:

• Isolasi izin dan jalur akses dompet panas dan dingin secara ketat, dan audit izin panggilan dompet panas secara teratur;
• Menggunakan sistem pemantauan waktu nyata di blockchain (seperti MistEye), untuk mendapatkan intelijen ancaman yang komprehensif dan pemantauan keamanan yang dinamis secara tepat waktu;
• Bekerja sama dengan sistem anti pencucian uang di blockchain (seperti MistTrack), untuk segera mendeteksi aliran dana yang tidak biasa;
• Memperkuat mekanisme respons darurat, memastikan bahwa setelah serangan terjadi, dapat merespons secara efektif dalam jendela waktu emas.

Investigasi mengenai peristiwa tersebut masih berlangsung, tim keamanan SlowMist akan terus memantau dan memberikan pembaruan secara tepat waktu.