[SCAN 2026 Finale Interview] ④1nf1n1ty: Über 200 CTFs als solide Erfahrung gesammelt

Team Infinity. Quelle: Team Infinity
Das weltgrößte digitale Vermögensverfolgungswettbewerb 'SCAN 2026' findet am 28. September um 9 Uhr morgens im Monaco Space in Seocho-gu, Seoul, statt.

SCAN 2026 wurde ins Leben gerufen, um die Cyber-Sicherheits- und Ermittlungsfähigkeiten im Bereich digitaler Vermögenswerte zu verbessern. Die Veranstaltung wird von der Informationsfirma für digitale Vermögenswerte, DAsset, organisiert, während die globale Blockchain-Datenplattform Chainalysis als CTF (Capture The Flag) Partner teilnimmt.

Im Finale von SCAN 2026 nehmen die besten 20 Teams aus der Qualifikation (insgesamt 416 Teams, 754 Personen) teil.

führte schriftliche Interviews mit den Teams, die aus Ermittlungsbehörden, Sicherheitsexperten und Studenten aus der ganzen Welt bestehen, die ins Finale eingezogen sind.

*Die Teams, die ins Finale eingezogen sind, sind wie folgt. (Reihenfolge alphabetisch)

0xfun / 1nf1n1ty / 67 / BITSkrieg / CertiScan / DeFiHackLabs / EDCCS / Funds Went to Kerning City / hello / IBarelyKnowHer / J0y_B0y / lazarus2026 / Lv1x / Project Sekai / T34M1 / Tardigrades / Tornado Cats / youtiaos / 웁시데 아카디마이 / 혼돈의 KAOS

Q. Was hat euch dazu bewogen, das Team zu gründen, und welche Hintergründe und Fachkenntnisse bringen die Teammitglieder mit?

"Wir sind Teil des Cyber-Sicherheitsclubs Team Infinity (1nf1n1ty) an der SASTRA Deemed University und sind derzeit auf Platz 4 in Indien und Platz 35 weltweit. Wir sind beide Abschlussjahrstudenten und haben schon lange an Wettbewerben teilgenommen, wobei wir über 200 CTFs bestritten haben. Unser gemeinsames Interesse an virtuellen Vermögenswerten (digitalen Vermögenswerten), Blockchain und dezentraler Finanzierung (DeFi) hat uns dazu gebracht, an diesem CTF teilzunehmen.

Ich bin Hemanth G und benutze den Nicknamen 4rch4ng3l. Ich bin hauptsächlich für OSINT (Open Source Intelligence) und Reverse Engineering zuständig. Im Bereich Web3 habe ich während der CTFs verschiedene Skripte entwickelt, um die Automatisierung der On-Chain-Transaktionsverfolgung, die Rekonstruktion des Transaktionsflusses über DeFi-Protokolle, die Integration von RPC-Endpunkten sowie die Analyse automatisierter Market Maker (AMM) Swaps und Liquiditätsbewegungen zu ermöglichen. Außerdem habe ich an einer Gruppe teilgenommen, die APT (Advanced Persistent Threats) untersucht. Neben CTFs und Forschungsaktivitäten habe ich auch zu mehreren Open-Source-Projekten beigetragen, was mir geholfen hat, Sicherheit aus einer breiteren Perspektive zu verstehen.

Ein weiteres Teammitglied ist Lohinth M, der den Nicknamen gr00t verwendet. Er ist hauptsächlich für Web-Exploits und Kryptographie zuständig und hat ebenfalls Erfahrung in einer Gruppe, die APT untersucht. Sein Interesse an Web3 wurde durch nicht-fungible Token (NFTs) auf Ethereum geweckt, als er 2022 seine erste Prägung über die Moonbirds-Derivatkollektion erlebte. Auch er trägt aktiv zu Open-Source-Projekten bei und hat dadurch praktische Erfahrungen im Umgang mit echten Codebasen gesammelt."

Q. Ihr habt euch aus 416 teilnehmenden Teams für das Finale von SCAN 2026 qualifiziert. Wie fühlt es sich an, ins Finale einzuziehen, und was war der denkwürdigste Moment während der Qualifikation?

"Ehrlich gesagt, bin ich wirklich glücklich und stolz, ins Finale einzuziehen. Wir sind ein Team aus nur zwei Personen und müssen gegen Gegner antreten, die über umfangreiche Erfahrungen in den Bereichen Ermittlungen und Blockchain-Forensik verfügen, was es nicht einfach macht. Aber gerade deshalb fühlt es sich umso spannender an. Die Qualifikation begann um 5:30 Uhr indischer Zeit, also mussten wir zuerst unseren Kaffee verfolgen, bevor wir mit der Verfolgung der Gelder beginnen konnten.

Der denkwürdigste Moment war, als ich unseren Namen auf der Liste der Finalisten sah. In diesem Moment wurde mir klar, dass all die Mühe, die nächtlichen Arbeiten und der Schlafmangel belohnt wurden. Außerdem habe ich das Vertrauen gewonnen, dass die Fähigkeiten, die ich durch CTFs erlernt habe, auch gut in der Blockchain-Forensik anwendbar sind."

Q. Was war das schwierigste Problem oder die herausforderndste Situation, die ihr während der SCAN 2026 Qualifikation gelöst habt? Wie seid ihr an das Problem herangegangen und habt es gelöst?

"Das zeitaufwändigste Problem war die Token-Locking-Challenge. Zunächst haben wir versucht, Benutzer zu finden, die mehr abgehoben hatten als sie eingezahlt hatten, aber diese Challenge umfasste auch Benutzer, die immer noch überhöhte Anteile hielten.

Nachdem wir die Upgrade-Historie der Token verfolgt hatten, entdeckten wir, dass in einer Version, obwohl das Guthaben in einen neuen Speicher verschoben wurde, die balanceof()-Funktion weiterhin die alten Daten las. Dies führte dazu, dass der Locking-Vertrag das Guthaben geringer berechnete als es tatsächlich war, was schließlich zu einer übermäßigen Ausgabe von Anteilen führte.

Danach haben wir alle Lock- und Unlock-Ereignisse nachgebildet, um das tatsächlich ausgegebene Guthaben mit dem Betrag zu vergleichen, den jeder Benutzer hätte erhalten sollen. Der entscheidende Durchbruch war die Erkenntnis, dass es sich bei diesem Problem nicht nur um eine Rückverfolgung von Abhebungen handelte, sondern um einen Accounting-Bug, bei dem der frühere Zustand des Vertrags rekonstruiert werden musste."

Q. Welche Tools, Technologien und Analysemethoden habt ihr verwendet, um On-Chain-Daten zu analysieren und Geldflüsse zu verfolgen? Gab es Programme, die ihr selbst entwickelt habt, oder spezielle Analysemethoden, die euer Team verwendet?

"Wir haben Python und Blockchain RPC, Archivknoten sowie Explorer wie Etherscan, Blockscout, Tronscan und Solana Explorer verwendet.

Durch frühere Web3 CTFs hatten wir bereits über 40 wiederverwendbare Skripte, die für ABI-Dekodierung, historische Datenabfragen, Ereignisnachbildungen, Wallet-Clustering und Cross-Chain-Tracking verwendet werden konnten.

Wir haben diese Skripte in einen eigenen Agentik-Workflow integriert, sodass wir je nach Aufgabe die geeigneten Skripte auswählen und wiederverwenden konnten. Die wiederholte Datensammlung wurde größtenteils automatisiert, und wichtige Schlussfolgerungen wurden direkt durch die Originaltransaktionen, den Quellcode des Vertrags und mehrere unabhängige Datenquellen verifiziert."

Q. Was haltet ihr für den größten Vorteil oder die differenzierte Problemlösungsmethode eures Teams im Vergleich zu anderen Finalisten?

"Der größte Vorteil ist wahrscheinlich die Synergie, die wir durch die Teilnahme an über 200 CTFs als Team aufgebaut haben. Wir können Probleme schnell aufteilen, gegenseitig Annahmen hinterfragen und unsere jeweiligen Stärken in OSINT und Kryptographie kombinieren.

Unser Ansatz ist ebenfalls sehr systematisch. Wir automatisieren die wiederholte Datensammlung mit vorhandenen Skripten, während wir alle wichtigen Schlussfolgerungen direkt überprüfen. Ich denke, das Gleichgewicht zwischen Geschwindigkeit und sorgfältiger Überprüfung ist ein Element, das unseren einzigartigen Ansatz ausmacht."

Q. Welche Vorbereitungen trefft ihr für das Finale am 28. September?

"Wir gehen die Qualifikationsfragen von Anfang an noch einmal durch und verbessern die Bereiche, die am meisten Zeit in Anspruch genommen haben. Außerdem verbessern wir unsere Analysetools und üben unter zeitlichen Einschränkungen. Unser Ziel ist es, bis zum Finale einen zuverlässigen Workflow und eine klare Aufgabenverteilung zu haben und uns ausreichend mit den Tools vertraut zu machen, damit wir unsere Zeit nicht mit dem Debuggen der Umgebung verbringen, sondern uns auf die Probleme selbst konzentrieren können."

Q. Wenn ihr im Finale den ersten Platz belegt und einen Preis gewinnt, was würdet ihr damit machen?

"Einen Großteil des Preisgeldes würde ich für mein zukünftiges Studium und meine Karriere im Bereich Cyber-Sicherheit sparen. Außerdem möchte ich unserem Club, Team Infinity, helfen, die Infrastruktur unseres jährlich ausgerichteten Cyber-Sicherheitswettbewerbs IRON CTF zu verbessern. Ein Teil des Geldes würde auch für Workshops und Ressourcen für die breitere Cyber-Sicherheitsgemeinschaft verwendet werden, und natürlich würden wir auch eine Feier mit Familie und Teamkollegen veranstalten, um diesen Erfolg zu feiern.

Dieser Inhalt wird nur zu allgemeinen Informationszwecken bereitgestellt und stellt keine finanzielle, Anlage-, Rechts- oder Steuerberatung dar. Alle erwähnten Ereignisse, Prämien, Online-Aktionen oder zugehörige Informationen sollten nicht als Empfehlung, Aufforderung oder Einladung zum Kauf, Verkauf, Handel oder anderweitigem Umgang mit Krypto-Assets betrachtet werden. Krypto-Assets sind sehr volatil und können zu Verlusten führen. Die Verfügbarkeit von WEEX Services, Produkten und zugehörigen Aktionen kann je nach Region unterschiedlich sein. Sie sind dafür verantwortlich sicherzustellen, dass Ihre Teilnahme mit geltenden lokalen Gesetzen und Vorschriften übereinstimmt.