Voormalige Huobi medewerkers veroordeeld voor diefstal van private keys

In een schokkende zaak hebben Chinese autoriteiten bevestigd dat vier voormalige medewerkers van Huobi malware hebben geïmplementeerd in crypto wallets en daarmee meer dan 40.000 mnemonics en private keys hebben gestolen. De daders zijn veroordeeld tot drie jaar gevangenisstraf, hoewel het specifieke bedrag van de gestolen cryptocurrencies niet is bekendgemaakt.

Deze diefstal vond plaats voordat Justin Sun het bedrijf overnam en ook voor de naamswijziging naar HTX. Huobi was ooit de grootste cryptocurrency exchange in China.

Chinese police revealed that four former Huobi employees implanted Trojans in wallets and stole more than 40,000 user mnemonics and private keys. They were sentenced to three years in prison. The specific amount of stolen cryptocurrencies was not disclosed.…

— Wu Blockchain (@WuBlockchain) · July 26, 2024

Details van de zaak

Volgens de officiële publicatie van de politie van Xuhui District, Shanghai, besloten Zhang, Dong en Liu, drie werknemers, begin maart 2023 een backdoor toe te voegen aan de wallet software om private keys van gebruikers te verkrijgen.

Eind mei 2023 hadden ze de private keys en de bijbehorende crypto wallet adressen opgeslagen en vernietigden vervolgens de server en database. Ze spraken af om deze private keys pas na twee jaar te gebruiken om de crypto van de gebruikers te stelen.

In totaal wisten de drie mannen meer dan 27.000 mnemonics en 10.000 private keys te bemachtigen. In april 2024 werden ze door de Volksrechtbank van Xuhui District veroordeeld tot drie jaar gevangenisstraf en een boete van 30.000 yuan.

Een onverwachte twist

Opmerkelijk is dat de aangever, Ou, niet door deze drie mannen was beroofd (de afgesproken tijd was nog niet verstreken). Uit onderzoek bleek dat een andere voormalige werknemer, Zhang, een soortgelijke backdoor had geïmplementeerd in de virtuele wallet software die Ou gebruikte op een ander platform.

In juli 2021 had Zhang een code geschreven die private keys en mnemonics verzamelde wanneer gebruikers transacties uitvoerden. Deze informatie werd automatisch naar Zhang’s e-mailadres gestuurd. In april 2023, onder persoonlijke financiële druk, gebruikte Zhang de gestolen mnemonics en private keys om het wallet adres van Ou te achterhalen en de crypto over te maken naar zijn eigen wallet. Zhang had in totaal meer dan 6.400 private keys en mnemonics illegaal bemachtigd en werd veroordeeld tot drie jaar gevangenisstraf en een boete van 50.000 yuan.

In 2023 berichtte een exclusieve bron dat, door toedoen van voormalige werknemers, mnemonics of private keys van sommige iToken (voorheen Huobi Wallet) gebruikers waren gelekt. HTX, de nieuwe naam van Huobi na de overname, reageerde dat dit voorval een persoonlijke actie van voormalige werknemers was voordat de overname plaatsvond. HTX werkt samen met de Shanghai-politie om bewijsmateriaal te verzamelen en te onderzoeken.