Hakerzy zdobywają prawie 1 milion dolarów w krypto za pomocą exploita „Vanity Adress” Ethereum

Wartość kryptowalut o wartości około 950,000 XNUMX USD została skradziona z „adresu próżności” Ethereum wygenerowanego za pomocą narzędzia o nazwie Wulgaryzmy. Exploit wykorzystywał podobną lukę związaną z niedawny atak o wartości 160 milionów dolarów na animatora rynku Wintermute.

„Adres próżności” to rodzaj adresu kryptograficznego, który jest zgodny z pewnymi parametrami określonymi przez twórcę, często reprezentującymi ich markę lub nazwę. 

Zamiast adresu kryptograficznego będącego losowym, generowanym maszynowo ciągiem cyfr i liter, adres próżności byłby wygenerowany przez człowieka. Z tego powodu użytkownicy na GitHubie wskazały, że tego typu adresy są bardziej podatne na ataki typu brute force.

Połączenia haker ukradł 732 Ethereum 25 września przed przekazaniem środków bezpośrednio do teraz usankcjonowane mikser kryptowalut Tornado Cash, według danych z Tarcza Pecka.

Chociaż to użytkownicy GitHub jako pierwsi odkryli szczegóły ataku, został on następnie opublikowany przez agregatora zdecentralizowanej wymiany (DEX) 1Inch Network, który powiedział użytkownikom, aby „jak najszybciej przenieśli wszystkie swoje zasoby do innego portfela”. udostępnianie bloga o tym, jak prawdopodobnie zadziałał exploit. 

W następstwie ataków programiści stojący za Profanity podjęli kroki w celu zapewnienia, że ​​nikt nie będzie nadal korzystał z narzędzia.

Kod wulgaryzmów został pozostawiony w stanie niekompilacyjnym przez jego programistów, a repozytorium zostało zarchiwizowane. Kod nie jest ustawiony na otrzymywanie kolejnych aktualizacji.

Vanity adresy i hacki kryptograficzne

Dyrektor generalny Wintermute Evgeny Gaevoy niedawno przyjęta na Twitterze że gigantyczny atak na jego firmę „był prawdopodobnie powiązany z exploitem typu wulgaryzmów naszego portfela handlowego DeFi”. 

Gaevoy powiedział, że jego firma, która świadczy algorytmiczne usługi marketingowe, używała „wulgaryzmów i wewnętrznego narzędzia do generowania adresów z wieloma zerami z przodu”, ale utrzymywała „powodem tego była optymalizacja gazu, a nie próżność”.

Jak dotąd żaden sprawca nie zgłosił się w sprawie ataku Wintermute ani ostatniego incydentu i nie odzyskano żadnych funduszy. Animator rynku grozi podjęciem kroków prawnych i zaoferował nagrodę w wysokości 16 milionów dolarów za zwrot środków. 

Wczorajszy wyczyn i Wintermute mogą być również tylko wierzchołkiem góry lodowej.

W swoim poście na blogu 1Inch zasugerował, że dodatkowe exploity nie zostały jeszcze odkryte, dodając, że „jednocalowi współtwórcy wciąż próbują ustalić wszystkie adresy próżności, które zostały zhakowane” i że „wygląda na to, że można ukraść dziesiątki milionów dolarów w kryptowalutach , jeśli nie setki milionów.”