Злоумышленник, отравляющий адрес, который предположительно обманом заставил пользователя отправить ему Wrapped Bitcoin (WBTC) на сумму 68 миллионов долларов, отправил жертве эфир (ETH) на сумму 153 000 долларов, явно демонстрируя добросовестность. В той же транзакции злоумышленник отправил сообщение о согласии на переговоры и запросил у жертвы имя пользователя Telegram, по которому с ней можно связаться. Отправленная обратно сумма составляет всего 0,225% от общей суммы предположительно украденных средств.
Данные блокчейна показывают, что 5 мая жертва атаки, чья учетная запись заканчивается на 8fD5, отправила три сообщения на учетную запись, оканчивающуюся на dA6D. Получатель сообщения получил средства с атакующего аккаунта с пометкой «FakePhishing327990» на Etherscan через несколько промежуточных аккаунтов. Это означает, что dA6D, скорее всего, находился под контролем злоумышленника.
В сообщениях подразумевалось, что жертва была готова отдать злоумышленнику 10% средств в качестве награды и воздержаться от судебного преследования, если он вернет остальные 90%. Потерпевший заявил:
«Мы оба знаем, что эти средства невозможно очистить. Вас выследят. Мы также оба понимаем, что фраза «спи спокойно» не касалась твоих моральных и этических качеств. Тем не менее, мы официально поддерживаем ваше право на эти 10%. Отправьте 90% обратно. У вас есть 24 часа до 10 утра по всемирному координированному времени 6 мая 2024 года, чтобы принять решение, которое в любом случае изменит вашу жизнь».
9 мая в 11:37 по всемирному координированному времени другой аккаунт, заканчивающийся на 72F1, ответил, отправив жертве 51 эфир (ETH) (стоимостью 153 000 долларов США по сегодняшней цене).72F1 также получал средства от FakePhishing327990 через несколько промежуточных аккаунтов, что указывает на то, что он также находился под контролем злоумышленника.
В транзакции, в ходе которой был отправлен 51 ETH, злоумышленник также опубликовал сообщение «Пожалуйста, оставьте свою телеграмму, и я свяжусь с вами». Затем в 11:43 они попытались исправить свою неправильную пунктуацию, опубликовав дополнительное сообщение, в котором говорилось: «Пожалуйста, оставьте свою телеграмму, и я свяжусь с вами[.]».
В ответ жертва опубликовала имя пользователя Telegram, по которому с ней можно связаться.
Переговоры произошли после того, как злоумышленник якобы обманом заставил жертву отправить 1155 Wrapped Bitcoin (WBTC) (стоимостью 68 миллионов долларов на тот момент) на ее счет, что они и сделали посредством транзакции «отравления адреса».
Данные блокчейна показывают, что в 09:17 3 мая злоумышленник использовал смарт-контракт для перевода 0,05 токена со счета жертвы на счет злоумышленника. Переданный токен не имел имени, указанного на Etherscan, и назывался просто «ERC-20». В обычных обстоятельствах злоумышленник не может передать токен от другого пользователя без его согласия. Но в данном случае токен имел нестандартный дизайн, позволяющий переносить его с аккаунта без согласия пользователя.
В 10:31 того же дня жертва отправила на этот адрес 1155 WBTC, видимо, по ошибке. Адрес мог показаться похожим на адрес, который жертва использовала для внесения средств на централизованную биржу, или по какой-либо другой причине.
Кроме того, жертва могла видеть, что в прошлом они отправляли 0,05 токена на этот адрес, и поэтому предположила, что это безопасно. Однако токены 0,05 были отправлены злоумышленником и, по всей видимости, пришли только от жертвы.
Когда злоумышленник пытается запутать жертв, рассылая им спам с транзакциями, которые кажутся исходящими от них, но на самом деле исходят от злоумышленника, эксперты по безопасности называют это «атакой по отравлению адреса». Эксперты рекомендуют пользователям внимательно проверять адрес отправки в транзакции перед ее подтверждением, чтобы избежать дорогостоящих ошибок в результате подобных атак.
Связанный: Как избежать атак по отравлению адреса передачи с нулевым значением
