Nalugi ang gumagamit ng Crypto ng $50 milyon sa scam na 'address poisoning'

Isang gumagamit ng Crypto ang nawalan ng $50 milyon sa USDT matapos malinlang sa isang scam na may kinalaman sa pagkalason sa address sa isang malawakang onchain exploit.

Ang pagnanakaw, nakita ng kompanya ng seguridad ng Web3Web3 Antivirus, naganap matapos magpadala ang user ng $50 na pansubok na transaksyon upang kumpirmahin ang patutunguhang address bago ilipat ang natitirang pondo.

Sa loob ng ilang minuto, isang scammer ang nakagawa ng address ng wallet na halos kapareho ng destinasyon, na tumutugma sa una at huling karakter, dahil alam niyang karamihan sa mga wallet ay nagpapaikli ng mga address at nagpapakita lamang ng mga unlapi at hulapi.

Pagkatapos, nagpadala ang scammer sa biktima ng kaunting "alikabok" para malason ang kanilang transaction history. Tila naniniwalang lehitimo at maayos na naipasok ang address na patutunguhan, kinopya ng biktima ang address mula sa kanilang transaction history at nauwi sa pagpapadala ng $49,999,950 USDT sa address ng scammer.

Ang maliliit na transaksyong ito ay kadalasang ipinapadala sa mga address na may malalaking holdings, nilalason ang mga history ng transaksyon sa pagtatangkang mahuli ang mga user sa mga error sa copy-paste, tulad ONE. Ang mga bot na nagsasagawa ng mga transaksyong ito ay naghahagis ng malawak na lambat, umaasang magtatagumpay, na nakamit naman nila sa kasong ito.

Ipinapakita ng datos ng Blockchain na ang mga ninakaw na pondo ay ipinagpalit para sa ether ETH$2,063.57 at inilipat sa maraming wallet. Simula noon, maraming address na kasangkot ang nakipag-ugnayankasamaTornado Cash, isang awtorisadong Crypto mixer, sa pagtatangkang palabnawin ang landas ng transaksyon.

Bilang tugon, naglathala ang biktima ng isangmensahe sa chainhinihiling na ibalik ang 98% ng ninakaw na pondo sa loob ng 48 oras. Ang mensahe, na may kasamang mga legal na banta, ay nag-alok sa sumalakay ng $1 milyon bilang isang white-hat na pabuya kung ang mga ari-arian ay maibabalik nang buo.

Ang hindi pagsunod, babala ng mensahe, ay magdudulot ng paglala ng kaso at mga kasong kriminal.

“Ito na ang huling pagkakataon ninyo upang malutas ang bagay na ito nang mapayapa,” isinulat ng biktima sa mensahe. “Kung hindi kayo susunod: idudulog namin ang bagay na ito sa pamamagitan ng mga legal na internasyonal na channel ng pagpapatupad ng batas.”

Hindi sinasamantala ng address poisoning ang anumang kahinaan sa code o cryptography, ngunit sa halip ay sinasamantala ang mga nakagawian ng gumagamit, lalo na ang pag-asa sa bahagyang pagtutugma ng address at pagkopya-paste mula sa kasaysayan ng transaksyon.