Κακόβουλοι δράστες έχουν καταχραστεί τη λειτουργία ‘Create2‘ του Ethereum για να παρακάμψουν τις ειδοποιήσεις ασφαλείας του πορτοφολιού και να μολύνουν τις διευθύνσεις κρυπτονομισμάτων, με αποτέλεσμα να κλέψουν κρυπτονομίσματα αξίας 60.000.000 δολαρίων από 99.000 άτομα μέσα σε έξι μήνες.
Δείτε επίσης: Huobi: Ανάκτησε 8 εκατομμύρια δολάρια κλεμμένων Ethereum
Το περιστατικό αναφέρθηκε από τους ειδικούς της Web3 στο ‘Scam Sniffer‘, οι οποίοι παρατήρησαν αρκετά περιστατικά εκμετάλλευσης της λειτουργίας σε φυσικό περιβάλλον, με ορισμένες περιπτώσεις απωλειών να ξεπερνούν το 1,6 εκατομμύριο δολάρια
Το Create2 είναι ένας κωδικός λειτουργίας στο Ethereum, που εισήχθηκε στην αναβάθμιση ‘Constantinople‘, και επιτρέπει τη δημιουργία έξυπνων συμβολαίων στο blockchain. Αντίθετα με το αρχικό Create, ο οποίος δημιουργούσε νέες διευθύνσεις βάσει της διεύθυνσης και του nonce του δημιουργού, το Create2 επιτρέπει τον υπολογισμό των διευθύνσεων πριν από την αναπτυξη του συμβολαίου.
Είναι ένα ισχυρό εργαλείο για τους προγραμματιστές Ethereum, επιτρέποντας προηγμένη και ευέλικτη αλληλεπίδραση με συμβόλαια, προυπολογισμό παραμέτρων για τη διεύθυνση συμβολαίου, ευελιξία στην ανάπτυξη, καταλληλότητα για πράξεις εκτός αλυσίδας και ορισμένα dApps.
Η εισαγωγή του Create2 έφερε σημαντικά οφέλη, αλλά συνοδεύτηκε και από ορισμένες επιπτώσεις στην ασφάλεια και νέους τρόπους επίθεσης. Η αναφορά Scam Sniffer εξηγεί ότι το Create2 μπορεί να καταχραστεί για να παράγει νέες διευθύνσεις συμβολαίων χωρίς ιστορικό κακόβουλων / αναφερθέντων συναλλαγών, παρακάμπτοντας έτσι τις ειδοποιήσεις ασφαλείας του πορτοφολιού.
Όταν ένα θύμα υπογράφει μια κακόβουλη συναλλαγή, ο επιτιθέμενος αναπτύσσει ένα συμβόλαιο στην προυπολογισμένη διεύθυνση και μεταφέρει τα περιουσιακά στοιχεία του θύματος σε αυτό, μία μη αναστρέψιμη διαδικασία.
Σε ένα πρόσφατο περιστατικό που παρατηρήθηκε από αναλυτές, ένα θύμα έχασε GMX αξίας $927,000 αφού εξαπατήθηκε να υπογράψει ένα συμβόλαιο μεταφοράς που έστειλε τα κεφάλαια σε μια προ-υπολογισμένη διεύθυνση. Ο δεύτερος τύπος κατάχρησης του Create2 είναι η δημιουργία διευθύνσεων παρόμοιων με νόμιμες διευθύνσεις που ανήκουν στον παραλήπτη, με σκοπό να εξαπατήσουν τους χρήστες να στείλουν κεφάλαια στους κακόβουλους παράγοντες, πιστεύοντας ότι τα στέλνουν σε μια γνωστή διεύθυνση.
Δείτε ακόμα: «Ιστορική» στιγμή crypto καθώς το Ethereum Merge ολοκληρώθηκε
Η διαδικασία, που ονομάζεται “address poisoning,” περιλαμβάνει τη δημιουργία ενός μεγάλου αριθμού διευθύνσεων και στη συνέχεια την επιλογή αυτών που ταιριάζουν στις συγκεκριμένες ανάγκες απάτης κάθε φορά, προκειμένου να εξαπατήσουν τους στόχους τους.
Από τον Αύγουστο του 2023, το Scam Sniffer έχει καταγράψει 11 θύματα που έχασαν σχεδόν 3 εκατομμύρια δολάρια, με έναν από αυτούς να μεταφέρει 1,6 εκατομμύριο δολάρια σε μια διεύθυνση που μοιάζει με αυτήν στην οποία είχαν στείλει πρόσφατα χρήματα.
Οι περισσότερες από αυτές τις επιθέσεις πέρασαν απαρατήρητες, κλέβοντας σιωπηλά εκατομμύρια, αλλά μερικές έχουν τραβήξει την προσοχή της κοινότητας. Στην αρχή του έτους, το MetaMask προειδοποίησε για απατεώνες που χρησιμοποιούν πρόσφατα δημιουργημένες διευθύνσεις που ταιριάζουν με αυτές που χρησιμοποιούνται από το θύμα σε πρόσφατες συναλλαγές.
Στην απάτη, ο δράστης μπορεί επίσης να στείλει στο θύμα ένα μικρό ποσό σε κρυπτονόμισμα για να καταχωρηθεί η διεύθυνση στο ιστορικό του πορτοφολιού, αυξάνοντας έτσι τις πιθανότητες να γίνει η πληρωμή από το θύμα.
Στις αρχές Αυγούστου του 2023, ένας υπάλληλος της Binance έστειλε από λάθος 20 εκατομμύρια δολάρια σε απατεώνες που χρησιμοποίησαν το κόλπο address poisoning, αλλά παρατήρησε γρήγορα το λάθος και πάγωσε τη διεύθυνση του αποδέκτη.
Ειδικότερα, η χρήση παρόμοιων διευθύνσεων κρυπτονομισμάτων είναι ένα κόλπο που παρατηρείται σε εργαλεία κακόβουλου λογισμικού όπως το Laplas Clipper, αναδεικνύοντας την αποτελεσματικότητα της μεθόδου. Κατά τη διενέργεια συναλλαγών με κρυπτονομίσματα, συνιστάται πάντα να ελέγχετε προσεκτικά τη διεύθυνση του παραλήπτη, και όχι μόνο τους πρώτους και τους τελευταίους τρεις-τέσσερις χαρακτήρες, πριν την εγκρίνετε.
Δείτε επίσης: Virgil Griffith: Ποινή φυλάκισης στον πρώην προγραμματιστή του Ethereum
Τι είναι το Ethereum
Το Ethereum είναι μια ανοιχτή πλατφόρμα blockchain που αναπτύχθηκε από τον Vitalik Buterin. Η βασική του ιδέα είναι να δημιουργήσει ένα περιβάλλον όπου οι προγραμματιστές μπορούν να δημιουργήσουν και να εκτελέσουν έξυπνα συμβόλαια. Τα έξυπνα συμβόλαια είναι προγράμματα που εκτελούν αυτόματα συμφωνημένες ενέργειες όταν πληρούνται συγκεκριμένες προϋποθέσεις. Το Ethereum επιτρέπει στους προγραμματιστές να δημιουργήσουν πολύπλοκες εφαρμογές που μπορούν να λειτουργούν αυτόνομα, χωρίς την ανάγκη για μεσάζοντες.
Η κύρια διαφορά του Ethereum από άλλες πλατφόρμες blockchain είναι η δυνατότητα εκτέλεσης έξυπνων συμβολαίων. Πολλές άλλες πλατφόρμες blockchain προσφέρουν μόνο βασικές λειτουργίες μεταφοράς ψηφιακών νομισμάτων, ενώ το Ethereum προσφέρει ένα πλήρες σύστημα για την ανάπτυξη και εκτέλεση εφαρμογών.
Επιπλέον, το Ethereum χρησιμοποιεί μια γλώσσα προγραμματισμού που ονομάζεται Solidity, η οποία είναι σχεδιασμένη ειδικά για την ανάπτυξη έξυπνων συμβολαίων. Αυτό καθιστά το Ethereum πιο προσβάσιμο για τους προγραμματιστές και επιτρέπει την ανάπτυξη πολύπλοκων εφαρμογών.
Πηγή: bleepingcomputer
