ที่อยู่ Vanity ของ Ethereum ถูกระบายออกไปกว่า 3 ล้านเหรียญ แม้จะมีคำเตือนถึง 1 นิ้ว

แฮ็กเกอร์สามารถขโมย cryptocurrencies มูลค่า 3.3 ล้านเหรียญจากที่อยู่ Ethereum หลายแห่งที่สร้างขึ้นด้วยเครื่องมือ "Profanity" เงินหมดไปแม้หลังจากที่ผู้รวบรวมการแลกเปลี่ยนแบบกระจายอำนาจขนาด 1 นิ้วเตือนผู้ใช้เกี่ยวกับการค้นพบช่องโหว่ที่รุนแรงซึ่งทำให้เสี่ยงหลายล้านดอลลาร์

ก่อนหน้านี้ได้แนะนำให้ผู้ใช้ที่เป็นเจ้าของที่อยู่กระเป๋าเงินที่สร้างด้วยเครื่องมือหยาบคายเพื่อโอนทรัพย์สินไปยังกระเป๋าเงินอื่น

รายงานความปลอดภัย 1 นิ้ว

ในช่วงต้นปี 2022 ผู้มีส่วนร่วมขนาด 1 นิ้วสังเกตว่า Profanity ใช้เวกเตอร์ 32 บิตแบบสุ่มเพื่อเพาะคีย์ส่วนตัว 256 บิต และสงสัยว่าอาจไม่ปลอดภัย จากการสอบสวนเพิ่มเติม พบกิจกรรมที่น่าสงสัยมากขึ้น โดยส่งสัญญาณว่ากระเป๋าเงินที่หยาบคายถูกบุกรุก

“ผู้มีส่วนร่วมขนาด 1 นิ้วตรวจสอบที่อยู่บนโต๊ะเครื่องแป้งที่ร่ำรวยที่สุดในเครือข่ายยอดนิยม และได้ข้อสรุปว่าส่วนใหญ่ไม่ได้สร้างขึ้นโดยเครื่องมือความหยาบคาย แต่คำหยาบคายเป็นเครื่องมือยอดนิยมอย่างหนึ่งเนื่องจากมีประสิทธิภาพสูง น่าเศร้าที่นั่นหมายความว่ากระเป๋าเงินที่หยาบคายส่วนใหญ่ถูกแฮ็กอย่างลับๆ”

ตามขนาด 1 นิ้ว ความหยาบคายเป็นเครื่องมือที่ได้รับความนิยมและ "มีประสิทธิภาพสูง" ซึ่งผู้ใช้สามารถสร้างที่อยู่นับล้านต่อวินาที อย่างไรก็ตาม กระบวนการที่ Profanity ใช้ในการสร้างที่อยู่นั้นไม่ได้ไร้ที่ติเช่นกันและเสี่ยงต่อการถูกโจมตี

การเปิดเผยข้อมูลความปลอดภัย รายงาน เผยแพร่โดย 1inch เมื่อสัปดาห์ที่แล้วยังระบุด้วยว่าช่องโหว่อาจทำให้แฮกเกอร์สามารถ "แอบ" ขโมยเงินหลายล้านดอลลาร์จากกระเป๋าเงินของผู้ใช้ Profanity เป็นเวลาหลายปี ผู้ร่วมให้ข้อมูลกำลังพยายามระบุที่อยู่ vanity ที่ถูกบุกรุกทั้งหมด

ไม่นานหลังจากการเตือน ผู้ตรวจสอบบล็อคเชน ZachXBT แจ้งการโจมตีโดยใช้เงินทุนมากกว่า 3 ล้านดอลลาร์ โชคดีที่ของเขา tweet ช่วยให้ผู้ใช้ประหยัดเงินในการเข้ารหัสลับและ NFT ได้ 1.2 ล้านเหรียญจากแฮ็กเกอร์ที่เข้าถึงกระเป๋าเงินของพวกเขา

Profanity Devs ละทิ้งโครงการ

ตามที่ Tal Be'ery หัวหน้าฝ่ายความปลอดภัยของ ZenGo และหัวหน้าเจ้าหน้าที่ฝ่ายเทคโนโลยี หน่วยงานที่เป็นอันตราย ได้ ได้ "นั่ง" กับช่องโหว่ในความพยายามที่จะรับมือกับคีย์ส่วนตัวให้ได้มากที่สุดเท่าที่จะเป็นไปได้ของที่อยู่บนโต๊ะเครื่องแป้งที่สร้างคำหยาบคายซึ่งสร้างโดยบั๊กก่อนที่จะตรวจพบช่องโหว่ อย่างไรก็ตาม พวกเขาถอนเงินออกหลังจากที่มันถูกเปิดเผยต่อสาธารณะโดยขนาด 1 นิ้ว

ในขณะเดียวกัน หนึ่งในนักพัฒนาที่หยาบคายซึ่งใช้นามแฝงว่า 'johguse' บน Github กล่าวว่าพวกเขาได้ "ละทิ้ง" โครงการไปแล้วเมื่อไม่กี่ปีที่ผ่านมา ดิ ความเห็น เกี่ยวกับการอ่านเดียวกัน

“โครงการนี้ฉันละทิ้งไปเมื่อสองสามปีก่อน ประเด็นด้านความปลอดภัยขั้นพื้นฐานในการสร้างคีย์ส่วนตัวได้รับความสนใจจากฉัน ฉันไม่แนะนำอย่างยิ่งให้ใช้เครื่องมือนี้ในสถานะปัจจุบัน ที่เก็บข้อมูลนี้จะได้รับการอัปเดตเพิ่มเติมในเร็วๆ นี้พร้อมข้อมูลเพิ่มเติมเกี่ยวกับปัญหาสำคัญนี้”