Hot wallets van Duelbits leeggehaald op vier blockchains

Duelbits, een crypto-gokplatform, heeft zijn site donderdag offline gehaald nadat aanvallers vermoedelijk ongeveer $7 miljoen uit de hot wallets van het bedrijf hadden gehaald. De precieze technische toedracht wordt nog onderzocht, maar de sporen wijzen op een gecompromitteerde private key.

Aanvallers legen hot wallets op vier blockchains

Beveiligingsbedrijf Scam Sniffer merkte het incident als eerste op en meldde uitgaande transacties vanaf Duelbits-hot wallets op Ethereum, BNB Chain en Tron. Later werd bevestigd dat ook de Bitcoin-hot wallet van het platform was leeggehaald, voor 8,1 BTC.

De patronen wijzen volgens de bron op een vermoedelijke compromittering van een private key, een methode die eerder ook werd gebruikt bij een vergelijkbare hack bij een ander gokplatform. Op de Ethereum-wallet van Duelbits werd binnen enkele minuten 836 ETH, ongeveer $593.000 aan USDT, $97.000 aan USDC, $31.500 aan DAI en 12,4 miljard SHIB naar de aanvaller gestuurd, waarna de wallet nog geen $25 aan resterende ether overhield.

Het merendeel van de buitgemaakte tokens werd sindsdien omgewisseld voor ether en geconsolideerd op één nieuw adres. Dat adres bevatte ten tijde van publicatie ongeveer 2.234 ETH, ter waarde van circa $6 miljoen, en de middelen waren nog niet verder verplaatst.

Wat bekend is over het platform

Vóór het incident rangschikte dataplatform DappRadar Duelbits als 17e van 43 gevolgde crypto-casino’s op basis van on-chain stortingen, met ongeveer $5,7 miljoen verdeeld over de gemonitorde wallets. Onduidelijk is of dat cijfer de situatie vóór of na de uitstroom weergeeft.

Het is niet de eerste keer dat een crypto-gokplatform op deze manier wordt getroffen: eerder werd al bericht over verdwenen spelersgelden bij een ander crypto-platform, wat de kwetsbaarheid van deze sector onderstreept.

Platform zegt gebruikersfondsen veilig te houden

Medeoprichter Joe bevestigde de hack van ongeveer $7 miljoen en meldde dat het onderzoek nog loopt naar wat er precies is gebeurd. Volgens hem zijn de gebruikersfondsen veilig, al blijft dat op dit moment een verklaring van het bedrijf zelf en geen onafhankelijk vastgesteld feit.

Duelbits liet weten dat de site offline blijft totdat het onderzoek is afgerond en de hot wallets opnieuw zijn aangevuld. In een verklaring noemt het bedrijf het incident een beveiligingsprobleem waarvoor de site uit voorzorg is stilgelegd.

Gevolgen voor spelers en crypto-casino’s

Voor spelers betekent de offline status vooral onzekerheid over toegang tot hun account en uitbetalingen, al bevestigt de bron geen concrete verliezen bij individuele gebruikers. Een vergelijkbare private-keymethode werd in 2023 gebruikt bij een aanval op Stake, destijds het grootste crypto-casino ter wereld qua volume, waarbij hackers volgens de bron $40 miljoen buitmaakten.

Het incident bevestigt opnieuw dat hot wallets bij crypto-casino’s een aantrekkelijk doelwit blijven, vergelijkbaar met eerdere grote sommen die na een casinohack in beslag werden genomen. Dat bewijst niet dat alle aanbieders dezelfde zwakke plekken hebben, maar het onderstreept wel het structurele risico van centraal beheerde crypto-portefeuilles.

De bedragen achter de uitstroom

De verschillende cijfers rond het incident meten niet allemaal hetzelfde moment of dezelfde wallets. Onderstaand overzicht zet de belangrijkste bedragen naast elkaar.