Jeden investor přišel o 50 milionů dolarů poté, co se stal obětí techniky „address poisoning“. Co se stalo a jak se před tímto rizikem chránit?
Investor přišel při útoku o desítky milionů dolarů
Analytická firma Lookonchain tento týden informovala o velmi vysoké ztrátě jednoho investora do kryptoměn. Oběť chtěla převést 50 milionů USDT a nejprve převedla 50 USDT na svou vlastní peněženkovou adresu, aby ji otestovala.
Jakmile byl tento první převod úspěšný, poslala částku 50 milionů dolarů na adresu, o které se domnívala, že je stejná… Jenže se tam mezitím dostal hacker. Ten totiž využil techniku „address poisoning“ k odcizení finančních prostředků.
Tento typ „otrávení“ je jednoduchý: spočívá v odeslání malé částky oběti vytvořením adresy, jejíž první a poslední znaky se podobají té její. Cílem je, aby osoba neověřovala celou adresu a spokojila se s kopírováním adresy ze své historie transakcí.
50 milionů dolarů ukradeno, prostředky vyprány
To se podle Lookonchainu stalo v tomto případě:
Jelikož mnoho peněženek skrývá střední část adresy pomocí „…“ za účelem vylepšení uživatelského rozhraní, mnoho uživatelů často kopíruje adresu z historie transakcí a obvykle ověřuje pouze první a poslední znaky.
Falešná adresa vedle adresy oběti
Výsledek: 50 milionů USDC se vypařilo. Oběť, která chtěla vybrat své prostředky z Binance, je ve skutečnosti poslala na zfalšovanou adresu.
Podle informací sdílených společností SlowMist podvodník následně prostředky rychle vypral. Nejprve vyměnil USDT za DAI prostřednictvím MetaMask Swap, poté vše vyměnil za ETH. Nakonec tyto prostředky poslal do kryptoměnového mixéru Tornado Cash.
Návrh dohody s podvodníkem
Výsledek: původní držitel USDC přišel během několika minut o desítky milionů dolarů. Následně zapsal zprávu „on-chain“, aby navrhl dohodu s osobou, která mu kryptoměny ukradla:
Oficiálně jsme podali trestní oznámení. S pomocí orgánů činných v trestním řízení, agentur pro kyberbezpečnost a několika blockchainových protokolů jsme již shromáždili podstatné a využitelné informace týkající se vašich aktivit.
Nabízí hackerovi, aby si ponechal jeden milion dolarů a vrátil většinu částky. Výměnou za to se původní majitel zavazuje, že nebude podávat žalobu:
Toto je vaše poslední šance vyřešit tuto záležitost smírnou cestou. Tímto se od vás vyžaduje, abyste do 48 hodin vrátili 98 % odcizených aktiv na níže uvedenou adresu. Máte právo si ponechat 1 000 000 USD jako odměnu „white hat“ za identifikaci zranitelnosti.
Prozatím nebyly prostředky vráceny. Je to další znamení, že je třeba být opatrný při kopírování adres při převodech finančních prostředků. Doporučujeme nikdy nekopírovat adresu z blockchainového prohlížeče a vždy pečlivě zkontrolovat celé adresy.
