Едва една седмица след хакването на Wintermute, $950,000 26 в етер (ETH) са били откраднати от крипто портфейл чрез експлойт на „суетен адрес“, според доклади от 2022 септември XNUMX г.
Суетни адреси, генерирани от ругатни, подложени на атака
На 26 септември Peckshield, фирма за сигурност на блокчейн Споделено в Twitter че хакер е откраднал етер на стойност $950,000 XNUMX (ETH) от портфейл за криптовалута. Хакването имаше много прилики с пробива на стойност $160 милиона в Wintermute миналата седмица.
PeckShield казва, че хакерът е откраднал 732 ETH от портфейл за криптовалута на 25 септември и го е смесил с други крипто фондове, използвайки санкционираната услуга за смесване на криптовалути, Торнадо Кеш. След това средствата бяха успешно прехвърлени в крипто портфейла на лошия актьор.
Експертите разкриха, че последният кражба е бил успешен поради слабост в генератора на суетен адрес, който беше открит за първи път в GitHub през януари 2022 г. Уязвимостите станаха публично достояние през септември, когато децентрализираният агрегатор за обмен, 1inch откри основни проблеми със сигурността с инструмента за ругатни .
За непосветените, инструментът Profanity е генератор на адреси на суетен портфейл, както вече беше споменато. Докато по-голямата част от адресите на портфейла на Ethereum се генерират на случаен принцип, тези адреси за суета се създават с конкретен термин, като нечие име, някъде в адреса.
Според 1 инча, Много адреси за суета, които са генерирани от инструмента за ругатни, са изложени на риск от тези експлойти, които биха изисквали атака с груба сила. Въпреки че изпълнението на тази атака би изисквало огромно количество изчислителна мощност, хакерите все още биха намерили извършването на тези атаки за възнаграждаващо упражнение, ако в портфейла се съдържа голямо количество крипто.
Обирите на крипто и DeFi продължават
Пробивите в сигурността и хаковете се разпространиха в крипто сектора, с Актив протоколи, понасящи най-големия удар досега. Преди седмица хакери откраднаха 160 милиона долара от производителя на крипто пазара wintermute. По-късно беше разкрито, че хакът е станал възможен поради това, че един от адресите на Wintermute има свойствата на суетен адрес, което може да е коренът на уязвимостта.
Изглежда проблемът изглежда ще се влоши още повече. Според докладваs, Над 1.9 милиарда долара в крипто са били откраднати от хакове на киберпрестъпници към юли 2022 г., което е значително повече от 1.2 милиарда долара, откраднати в същия период от време през 2021 г.
Разработчиците на Ethereum публикуват предложението „Бутон за отмяна“.
Нарастващата честота на крипто хакове през 2022 г. накара група изследователи да формулират ново предложение за два нови стандарта за токени Ethereum: ERC20R и ERC721R. Предложените нови стандарти за токени са разширения на съществуващите ERC20 и ERC721 и сега ще включват възможност за обръщане на злонамерени транзакции.
Предложените стандарти за токени ще комбинират токен договор и договор за управление, където последният се контролира от децентрализирана съдебна система. Според предложението потребителите, които са жертви на хак, могат да направят заявка за замразяване на интелигентния договор за управление с подкрепящи доказателства.
След това искането за замразяване ще бъде предоставено на група от децентрализирани съдии, които след това ще гласуват, за да решат дали има съществени доказателства за замразяване на средствата или друго.
Ако мнозинството от съдиите гласуват в полза на замразяването, тогава ще започне процес. По време на процеса и двете страни (жертвата и хакерът) могат да представят своите доказателства на децентрализираните съдии, които отново ще гласуват за резултата.
Въпреки че идеята има потенциала да намали риска от пробиви в сигурността, мнозина в крипто пространството критикуваха предложението, заявявайки, че подобни инициативи противоречат на основополагащите принципи на блокчейн технологията. Някои критици също така посочиха, че добавянето на функция за обратимост към договорите за токени ERC20 може да затрудни интегрирането им в децентрализирани приложения.
Източник: https://crypto.news/hacker-exploits-profanitys-vanity-address-to-steal-950-in-eth/