Utente crypto perde 50 milioni di dollari in una truffa di 'avvelenamento indirizzo'

Un utente crypto ha perso 50 milioni di dollari in USDT dopo essere caduto in una truffa di avvelenamento dell'indirizzo in un vasto exploit onchain.

Il furto, individuato dalla società di sicurezza Web3 Antivirus Web3, si è verificato dopo che l'utente ha inviato una transazione di prova di 50$ per confermare l'indirizzo di destinazione prima di trasferire il resto dei fondi.

Nel giro di pochi minuti, un truffatore ha creato un indirizzo wallet che somigliava molto alla destinazione, corrispondendo ai primi e agli ultimi caratteri, sapendo che la maggior parte dei wallet abbrevia gli indirizzi mostrando solo prefissi e suffissi.

Lo truffatore ha quindi inviato alla vittima una piccolissima somma di “polvere” per contaminare la cronologia delle loro transazioni. Apparentemente convinta che l’indirizzo di destinazione fosse legittimo e correttamente inserito, la vittima ha copiato l’indirizzo dalla propria cronologia delle transazioni e ha finito per inviare 49.999.950 USDT all’indirizzo dello truffatore.

Queste piccole transazioni di polvere vengono spesso inviate a indirizzi con grandi patrimoni, avvelenando le cronologie delle transazioni nel tentativo di cogliere gli utenti in errori di copia-incolla, come in questo caso. I bot che effettuano queste transazioni lanciano una rete ampia, sperando nel successo, che hanno ottenuto in questa circostanza.

I dati della blockchain mostrano che i fondi rubati sono stati poi scambiati con ether ETH$2,490.55 e spostati attraverso diversi portafogli. Diversi indirizzi coinvolti da allora hanno interagito con Tornado Cash, un mixer di criptovalute sanzionato, in un tentativo di offuscare la traccia della transazione.

In risposta, la vittima ha pubblicato un messaggio onchain richiedendo la restituzione del 98% dei fondi rubati entro 48 ore. Il messaggio, supportato da minacce legali, offriva all’attaccante 1 milione di dollari come ricompensa white-hat se gli asset venissero restituiti per intero.

La mancata conformità, avverte il messaggio, innescherà un'escalation legale e accuse penali.

“Questa è la tua ultima opportunità per risolvere la questione in modo pacifico,” ha scritto la vittima nel messaggio. “Se non ti conformerai: procederemo tramite i canali legali internazionali di forze dell'ordine.”

Il "address poisoning" non sfrutta vulnerabilità nel codice o nella crittografia, ma si avvale delle abitudini degli utenti, in particolare della dipendenza dal confronto parziale degli indirizzi e dal copia-incolla dalla cronologia delle transazioni.