Investor přišel o 50 milionů dolarů poté, co se stal obětí techniky „address poisoning“. Co se stalo a jak se před tímto rizikem chránit?
Investor přišel při útoku o desítky milionů dolarů
Analytická firma Lookonchain tento týden informovala o velmi vysoké ztrátě investora do kryptoměn. Oběť chtěla převést 50 milionů USDT a nejprve převedla 50 USDT na svou vlastní peněženkovou adresu, aby ji otestovala.
Po úspěšném prvním převodu poslala částku 50 milionů dolarů na adresu, o které se domnívala, že je stejná… Jenže tam se mezitím objevil hacker. Ten použil techniku „address poisoning“ (otrávení adresy), aby ukradl finanční prostředky.
Tento typ „otrávení“ je jednoduchý: spočívá v zaslání malé částky oběti vytvořením adresy, jejíž první a poslední znaky se podobají její adrese. Cílem je, aby osoba neověřovala celou adresu a spokojila se s kopírováním adresy ze své historie transakcí.
Ukradeno 50 milionů dolarů, prostředky vyprány
Podle Lookonchain se to stalo právě zde:
Jelikož mnoho peněženek maskuje střední část adresy pomocí „…“, aby vylepšily uživatelské rozhraní, mnoho uživatelů často kopíruje adresu z historie transakcí a obvykle kontroluje pouze první a poslední znaky.
Výsledek: 50 milionů USDC se vypařilo. Oběť, která chtěla vybrat své prostředky z Binance, je ve skutečnosti poslala na falešnou adresu.
Podvodník poté podle informací sdílených společností SlowMist rychle vypral tyto prostředky. Nejprve vyměnil USDT za DAI prostřednictvím MetaMask Swap a poté vše vyměnil za ETH. Nakonec je poslal do mixéru kryptoměn Tornado Cash.
Návrh dohody s podvodníkem
Výsledek: původní držitel USDC přišel během několika minut o desítky milionů dolarů. Následně zveřejnil „on-chain“ zprávu, ve které navrhl dohodu s osobou, která mu ukradla kryptoměny:
Podali jsme oficiální trestní oznámení. S pomocí policejních složek, agentur pro kybernetickou bezpečnost a několika blockchainových protokolů jsme již shromáždili podstatné a využitelné informace o vašich aktivitách.
Hackerovi navrhuje, aby si ponechal jeden milion dolarů a většinu částky vrátil. Na oplátku se původní držitel zavazuje, že nebude podávat žalobu:
Toto je vaše poslední šance vyřešit tuto záležitost přátelským způsobem. Tímto se od vás požaduje, abyste do 48 hodin vrátili 98 % odcizených aktiv na níže uvedenou adresu. Máte právo si ponechat 1 000 000 USD jako odměnu „white hat“ za identifikaci zranitelnosti.
Prozatím nebyly prostředky vráceny. Je to další znamení, že je třeba být opatrný při kopírování adres při převodech finančních prostředků. Doporučujeme nikdy nekopírovat adresu z blockchainového prohlížeče a vždy pečlivě zkontrolovat celé adresy.
