Hackere henter næsten $1 million i krypto fra Ethereums 'Vanity Adress'-udnyttelse

Omkring $950,000 værd af krypto er blevet stjålet fra en Ethereum "forfængelighed adresse" genereret med et værktøj kaldet bandeord. Udnyttelsen udnyttede en lignende sårbarhed relateret til seneste angreb på 160 millioner dollars på market maker Wintermute.

En "forfængelighedsadresse" er en type kryptoadresse, der er i overensstemmelse med visse parametre, der er fastsat af skaberen, ofte repræsenterer deres brand eller navn. 

I stedet for at kryptoadressen er en tilfældig, maskingenereret streng af tal og bogstaver, ville en forfængelighedsadresse være menneskeskabt. Det er af denne grund brugere på GitHub har indikeret, at disse typer adresser er mere sårbare over for brute force-angreb.

hacker stjal 732 Ethereum den 25. september, før midlerne overføres direkte til nu sanktioneret kryptomixer Tornado Cash, ifølge data fra PeckShield.

Selvom det var GitHubs brugere, der først afslørede detaljer om angrebet, blev det derefter offentliggjort af den decentraliserede børs (DEX) aggregator 1Inch Network, der fortalte brugerne at "overføre alle dine aktiver til en anden tegnebog ASAP." deler en blog om, hvordan udnyttelsen sandsynligvis har fungeret. 

I kølvandet på angrebene har udviklerne bag Profanity taget skridt til at sikre, at ingen fortsætter med at bruge værktøjet.

Profanitys kode er blevet efterladt i en ikke-kompilerbar tilstand af dens udviklere, hvor depotet bliver arkiveret. Koden er ikke indstillet til at modtage flere opdateringer.

Vanity adresser og krypto hacks

Wintermute CEO Evgeny Gaevoy for nylig indrømmet på Twitter at det gigantiske angreb på hans virksomhed "sandsynligvis var forbundet med bandeord-lignende udnyttelse af vores DeFi-handelstegnebog." 

Gaevoy sagde, at hans virksomhed, som leverer algoritmiske markedsskabende tjenester, brugte "bandeord og et internt værktøj til at generere adresser med mange nuller foran", men fastholdt "årsagen bag dette var gasoptimering, ikke forfængelighed."

Indtil videre er ingen gerningsmand kommet frem vedrørende Wintermute-angrebet eller den seneste hændelse, og ingen penge er blevet inddrevet. Market maker truer med sagsanlæg og har tilbudt en dusørbelønning på 16 millioner dollars for returnering af midlerne. 

Gårsdagens bedrift og Wintermutes er måske også bare toppen af ​​isbjerget.

I sit blogindlæg foreslog 1Inch, at yderligere udnyttelser endnu ikke er blevet afsløret, og tilføjede, at "1inch-bidragydere forsøger stadig at bestemme alle de forfængelighedsadresser, der blev hacket", og at det "ser ud til, at titusindvis af millioner dollars i kryptovaluta kan blive stjålet , hvis ikke hundreder af millioner.”