Агрегатор децентрализованных бирж 1inch Network выпустил предупреждение для инвесторов в криптовалюту после выявления уязвимости в Profanity, инструменте для создания тщеславных адресов Ethereum (ETH). Несмотря на заблаговременное предупреждение, по-видимому, хакерам удалось украсть криптовалюты на сумму 3,3 миллиона долларов.
15 сентября 1Inch сообщил об отсутствии безопасности при использовании Profanity, поскольку он использовал случайный 32-битный вектор для заполнения 256-битных закрытых ключей. Дальнейшие расследования выявили двусмысленность в создании тщеславных адресов, предполагая, что кошельки Profanity были тайно взломаны. Предупреждение пришло в виде твита, как показано ниже.
БЕГИТЕ, ДУРАК ⚠️ Спойлер: ваши деньги НЕ являются SAFU, если адрес вашего кошелька был сгенерирован с помощью инструмента Ненормативная лексика. Перенесите все свои активы на другой кошелек как можно скорее!➡️ Подробнее: https://t.co/oczK6tlEqG#Ethereum #cryptocurrency #vulnerability #1inch— 1inch Network (@1inch) 15 сентября 2022 г.
Последующее расследование исследователя блокчейна ZachXBT показало, что успешный эксплойт уязвимости позволил хакерам вывести 3,3 миллиона долларов в криптовалюте.
Похоже, что 0x6ae использовал криптовалюту на сумму 3,3 миллиона долларов из-за этой уязвимости. Интересно, что Indexed Finance Exploiter был первым адресом, осушенным 0x6ae. Адрес злоумышленников: 0x6AE09AC63487FCf63117A6D6FAFa894473d47b93 https://t.co/gnQHHytI1m pic.twitter.com/5TYccNIpdq — ZachXBT (@zachxbt) 17 сентября 2022 г.
Более того, ZachXBT помог пользователю сэкономить более 1,2 миллиона долларов в криптовалюте и невзаимозаменяемых токенах (NFT), предупредив их о хакере, который получил доступ к кошельку пользователя. После разоблачения многие пользователи подтвердили, что их средства в безопасности, как заявил один из них:
«Wtf через 6 часов после атаки мои адреса все еще были вульвы, но злоумышленник не слил меня?55к в опасности, лол»
Однако хакеры, как правило, атакуют более крупные кошельки, прежде чем перейти к кошелькам с меньшей стоимостью. Пользователям, владеющим адресами кошельков, сгенерированными с помощью инструмента Profanity, было рекомендовано «Перевести все свои активы в другой кошелек как можно скорее!»на 1 дюйм.
Связанный: Правоохранительные органы возвращают 30 миллионов долларов от взлома Ronin Bridge с помощью Chainalysis
В то время как некоторые хакеры предпочитают традиционный метод вывода средств пользователей после незаконного доступа к криптовалютным кошелькам, другие пробуют новые способы обмануть инвесторов, заставляя их поделиться своими закрытыми ключами.
Одно из недавних инновационных мошенничеств связано со взломом канала YouTube для воспроизведения сфабрикованных видеороликов, в которых Илон Маск обсуждает криптовалюты.3 сентября канал правительства Южной Кореи на YouTube был на мгновение взломан и переименован для публикации прямых трансляций видео, связанных с криптовалютой.
В качестве основной причины взлома были определены скомпрометированные идентификатор и пароль канала YouTube.
Термины в новости
- DEX (децентрализованная биржа)
- Биржа на смарт-контрактах, где обмен происходит прямо из кошелька пользователя, без регистрации. Примеры — Uniswap, PancakeSwap, Jupiter.
- Приватный ключ
- Секретное число, которое даёт полный контроль над монетами на адресе. Кто знает ключ — тот распоряжается средствами.
- Эксплойт (exploit)
- Атака, использующая ошибку в коде смарт-контракта или протокола, чтобы вывести средства. В отличие от взлома ключей, злоумышленник действует «по правилам» уязвимого кода.
- Блокчейн
- Распределённая база данных из последовательно связанных блоков с транзакциями. Копию хранят тысячи участников, поэтому изменить записи задним числом практически невозможно.
