Crypto-gebruiker verliest $50 miljoen in 'address poisoning'-zwendel

Een cryptogebruiker verloor $50 miljoen aan USDT na te zijn gevallen voor een adresvergiftigingsfraude in een omvangrijke onchain-exploit.

De diefstal, ontdekt door Web3-beveiligingsbedrijf Web3 Antivirus, vond plaats nadat de gebruiker een testtransactie van $50 had verzonden om het bestemmingsadres te bevestigen voordat de rest van de fondsen werd overgemaakt.

Binnen enkele minuten maakte een oplichter een walletadres aan dat sterk leek op de bestemming, waarbij de eerste en laatste tekens overeenkwamen, in de wetenschap dat de meeste wallets adressen afkorten en alleen de prefixen en suffixen tonen.

De oplichter stuurde de slachtoffer vervolgens een klein “stof”-bedrag om hun transactiegeschiedenis te vergiftigen. Omdat de slachtoffer blijkbaar geloofde dat het bestemmingsadres legitiem en correct ingevoerd was, kopieerde deze het adres uit hun transactiegeschiedenis en stuurde uiteindelijk $49.999.950 USDT naar het adres van de oplichter.

Deze kleine dust-transacties worden vaak verzonden naar adressen met grote eigendommen, waarbij transacties worden vergiftigd in een poging gebruikers te vangen bij copy-paste fouten, zoals deze. Bots die deze transacties uitvoeren, werpen een breed net uit in de hoop op succes, wat ze in dit geval hebben bereikt.

Blockchain-gegevens tonen aan dat de gestolen fondsen vervolgens werden ingewisseld voor ether ETH$2.976,24 en over meerdere wallets werden verplaatst. Verschillende betrokken adressen zijn sindsdien geïnterageerd met Tornado Cash, een gesanctioneerde crypto-mixer, in een poging om het transactiepad te verhullen.

Als reactie publiceerde het slachtoffer een on-chain bericht eist de teruggave van 98% van de gestolen fondsen binnen 48 uur. Het bericht, ondersteund door juridische dreigementen, bood de aanvaller $1 miljoen aan als white-hat beloning indien de middelen volledig worden geretourneerd.

Het bericht waarschuwt dat het niet naleven zal leiden tot juridische escalatie en strafrechtelijke vervolging.

“Dit is uw laatste kans om deze kwestie vreedzaam op te lossen,” schreef het slachtoffer in het bericht. “Indien u niet voldoet: zullen wij de zaak escaleren via juridische internationale wetshandhavingskanalen.”

Adresvergiftiging maakt geen gebruik van kwetsbaarheden in code of cryptografie, maar profiteert in plaats daarvan van gebruikersgewoonten, namelijk de afhankelijkheid van gedeeltelijke adresmatching en het kopiëren en plakken vanuit de transactiegeschiedenis.