Адреса тщеславия Эфириума исчерпаны более чем на 3 миллиона долларов, несмотря на предупреждение 1inch

Хакеру удалось украсть криптовалюты на сумму 3,3 миллиона долларов с нескольких адресов Ethereum, сгенерированных с помощью инструмента «Ненормативная лексика». Средства были потрачены даже после того, как агрегатор децентрализованных бирж 1inch предупредил пользователей об обнаружении серьезной уязвимости, подвергающей риску миллионы долларов.

Ранее пользователям, владеющим адресами кошельков, сгенерированными с помощью инструмента Profanity, рекомендовалось перевести свои активы в другой кошелек.

1-дюймовый отчет о безопасности

В начале 2022 года авторы 1inch заметили, что Profanity использовала случайный 32-битный вектор для заполнения 256-битных закрытых ключей, и подозревали, что это может быть небезопасно. При дальнейшем расследовании были отмечены другие подозрительные действия, указывающие на то, что кошельки ненормативной лексики были скомпрометированы.

«Авторы 1inch проверили самые богатые тщеславные адреса в популярных сетях и пришли к выводу, что большинство из них не были созданы инструментом Profanity. Но Profanity — один из самых популярных инструментов благодаря высокой эффективности. К сожалению, это могло означать только то, что большинство кошельков Profanity были тайно взломаны».

Согласно 1inch, Profanity является популярным и «высокоэффективным» инструментом, с помощью которого пользователи могут создавать миллионы адресов в секунду. Однако процедура, используемая Profanity для генерации адресов, также не была безупречной и была подвержена атакам.

В отчете о раскрытии информации о безопасности, опубликованном 1inch на прошлой неделе, также отмечается, что уязвимость могла позволить хакерам «тайно» красть миллионы долларов из кошельков пользователей Profanity в течение многих лет. В настоящее время участники пытаются определить все скомпрометированные персональные адреса.

Вскоре после предупреждения исследователь блокчейна ZachXBT уведомил об атаке, в результате которой было потрачено более 3 миллионов долларов. К счастью, его твит помог пользователю сэкономить 1,2 миллиона долларов в криптовалюте и NFT от хакера, получившего доступ к его кошельку.

Разработчики, использующие ненормативную лексику, отказываются от проекта

По словам Тала Беэри, руководителя отдела безопасности и технического директора ZenGo, злоумышленники могли «сидеть» над уязвимостью, пытаясь заполучить как можно больше закрытых ключей зараженного ошибками ненормативной лексики. сгенерированные тщеславные адреса до того, как была обнаружена уязвимость. Однако они обналичили его после того, как 1inch публично разоблачил его.

Тем временем один из разработчиков Profanity, известный на Github под псевдонимом johguse, сказал, что они уже «забросили» проект несколько лет назад. Комментарий относительно того же чтения,

«Пару лет назад я забросил этот проект. Мое внимание было обращено на фундаментальные проблемы безопасности при генерации закрытых ключей. Я настоятельно не рекомендую использовать этот инструмент в его текущем состоянии. Этот репозиторий скоро будет обновлен дополнительной информацией об этой критической проблеме».

Публикация Из адресов тщеславия Ethereum ушло более 3 миллионов долларов, несмотря на предупреждение 1inch, впервые появившееся на CryptoPotato.