Indodax热钱包存有2200万美元——一次入侵同时抽干六个链

Indodax是印度尼西亚最大的加密货币交易所，拥有超过600万用户。它运行热钱包——用于日常提现的联网钱包——在多个区块链上持有数千万美元。2024年9月11日，攻击者通过150多笔可疑交易，盗走约2200万美元：其中ERC-20代币约1460万美元，Polygon资产258万美元，波场240万美元，比特币142万美元，以及Optimism上的少量以太坊。

Indodax当天将网页和移动应用下线，称之为“全面维护”，并告诉用户他们的剩余余额仍然有完全支持。追踪被盗资金的区块链取证公司——包括Cyvers、SlowMist和PeckShield——表示，攻击模式和资金通过交换成ETH、TRON、Polygon和比特币进行洗钱的方式，与朝鲜的Lazarus Group非常相似，该组织被认为是WazirX和Bybit交易所攻击的幕后黑手。目前无人宣称对此负责，Indodax也未确认归属。

印度尼西亚的衍生品监管机构Bappebti传唤Indodax进行解释，并告诉客户保持冷静，同时监控交易所的回应。Indodax表示持有约3.69亿美元的储备金——是被盗金额的十倍以上——并承诺从这部分缓冲资金中补偿受影响的用户，而不是将损失转嫁给用户。

攻击者在一次入侵中从比特币、以太坊、波场和Polygon上盗走2200万美元；Indodax承诺用3.69亿美元的储备金覆盖损失。

数千万美元存放在热钱包中——可通过互联网进行日常提现——而不是像交易所用于大部分客户资金的冷存储那样离线存储。

这些热钱包中的余额分散在六个不同的区块链上，因此一个受感染的访问点可以在同一系列交易中盗走比特币、以太坊、波场和Polygon的资产。

在Indodax注意到并将其平台下线之前，已经发生了150多笔交易，这表明监控在资金已经转移后才发现泄露。

用于提现而可访问的资金，就是攻击者可访问的资金。交易所热钱包中保留的资金越少，一个钱包背后的链越少，单次入侵能盗走的就越少。

Indodax在停机维护后恢复平台，并表示将用自己的储备金弥补用户损失。Bappebti继续对交易所进行审查，印度尼西亚法律评论人士认为，这次入侵本身就表明Indodax未能达到Bappebti和OJK对持牌加密平台要求的系统可靠性标准。