Usuario de criptomonedas pierde 50 millones de dólares en estafa de 'envenenamiento de direcciones'

Un usuario de criptomonedas perdió $50 millones en USDT tras caer en una estafa de envenenamiento de direcciones en una explotación masiva en la cadena.

El robo, detectado por la firma de seguridad Web3 Antivirus Web3, ocurrió después de que el usuario enviara una transacción de prueba de $50 para confirmar la dirección de destino antes de transferir el resto de los fondos.

En cuestión de minutos, un estafador creó una dirección de billetera que se asemejaba estrechamente al destino, coincidiendo con los primeros y últimos caracteres, sabiendo que la mayoría de las billeteras abrevia las direcciones y muestra solo prefijos y sufijos.

El estafador luego envió a la víctima una pequeña cantidad de “polvo” para contaminar su historial de transacciones. Pareciendo creer que la dirección de destino era legítima y estaba correctamente ingresada, la víctima copió la dirección desde su historial de transacciones y terminó enviando $49,999,950 USDT a la dirección del estafador.

Estas pequeñas transacciones de polvo suelen enviarse a direcciones con grandes saldos, envenenando los historiales de transacciones en un intento de atrapar a los usuarios en errores de copiar y pegar, como en este caso. Los bots que realizan estas transacciones lanzan una red amplia, esperando éxito, el cual lograron en esta ocasión.

Los datos de la blockchain muestran que los fondos robados fueron posteriormente intercambiados por ether ETH$2087,37 y transferidos a través de múltiples billeteras. Varias direcciones involucradas desde entonces han interactuado con Tornado Cash, un mezclador de criptomonedas sancionado, en un intento por ofuscar el rastro de la transacción.

En respuesta, la víctima publicó un mensaje en cadena exigiendo la devolución del 98% de los fondos robados en un plazo de 48 horas. El mensaje, respaldado con amenazas legales, ofrecía al atacante 1 millón de dólares como recompensa white-hat si los activos son devueltos en su totalidad.

El incumplimiento, advierte el mensaje, desencadenará una escalada legal y cargos penales.

“Esta es su última oportunidad para resolver este asunto de manera pacífica,” escribió la víctima en el mensaje. “Si no cumple: escalaremos el asunto a través de los canales legales internacionales de aplicación de la ley.”

La intoxicación de direcciones no explota vulnerabilidades en el código o la criptografía, sino que aprovecha los hábitos de los usuarios, en particular, la dependencia de la coincidencia parcial de direcciones y el copiado y pegado desde el historial de transacciones.