Отравянето с адрес MetaMask изисква прост противоотрова

MetaMask предупреждава своите потребители срещу нарастващ нов криптовалута наречено „отравяне на адреса“, но новината дойде малко късно за някои.

Портфейлите за криптовалута могат да включват един или повече акаунти, всеки със собствен криптографски генериран адрес, обяснява MetaMask в освободи. Тези дълги шестнадесетични числа обаче са умишлено трудни за запомняне, което изисква често използване на копиране и поставяне. Точно от това се опитва да се възползва адресното отравяне.

Как адресите стават „отровени“

Вместо сложен хак, който компрометира инфраструктурата на протокола, отравянето на адреси по-скоро разчита на човешката психология и механиката на крипто транзакциите. Следният сценарий е пример за това.

В този случай Потребител A извършва редовни транзакции към Потребител B, за което нападателят C разбира, че използва софтуер, който следи трансферите на определени токени, обикновено стабилни монети. След това нападателят ще използва генератор на „суетен“ адрес, за да създаде хакерски адрес C, който много съответства на потребителски адрес B.

След това нападателят C ще извърши транзакция от $0 между потребителски адрес A и хакерски адрес C. Това води до „отравяне“ на адреса, тъй като хакерски адрес C се кешира върху потребителски адрес B за потребителски адрес A. Тъй като хакерски адрес C споделя същите първи и последни 4 цифри като потребителски адрес B, нападателят C се надява, че потребител A неволно използва техния адрес, когато се опитва да извърши транзакция с потребител B. 

Измамата може лесно да бъде избегната чрез щателна проверка на адресите, преди да се ангажирате с транзакции, колкото и досадни да са.

Грешки в MetaMask

Някои потребители са разочаровани от забавянето на обявяването на новината. „MetaMask най-накрая документира атаката с отравяне на адреса след 2+ месеца“, туитна Хан Тузун. Постът му предостави a връзка към статия, обясняваща измамата с подробни подробности от началото на декември.

Tuzun допълнително предупреди потребителите за генератори на адреси, които могат да генерират почти идентични адреси за секунди. Потребителят на Twitter също възложи на създателите на инфраструктура да предупредят достатъчно потребителите в потребителския интерфейс срещу подобни атаки.

Тази последна неуспех за MetaMask идва, след като се сблъска със силна обществена реакция след актуализация на нейните политики за запазване на данни. Фирмата актуализира политиката си за поверителност в края на миналата година, което доведе до съобщения, че това ще доведе до събиране на потребителски портфейли и IP адреси.

Това бързо доведе до a разгорещен отговор от крипто общността, което предизвика публикация от разработчика ConsenSys на 6 декември, за да се опита да успокои своите потребители.