แฮกเกอร์จับเงิน Crypto เกือบ 1 ล้านเหรียญจากการใช้ประโยชน์จาก 'ที่อยู่ของ Vanity' ของ Ethereum

การเข้ารหัสลับมูลค่าประมาณ 950,000 ดอลลาร์ถูกขโมยจาก "ที่อยู่บนโต๊ะเครื่องแป้ง" ของ Ethereum ที่สร้างขึ้นด้วยเครื่องมือที่เรียกว่าความหยาบคาย การเอารัดเอาเปรียบใช้ประโยชน์จากช่องโหว่ที่คล้ายกันซึ่งเกี่ยวข้องกับ การโจมตี 160 ล้านดอลลาร์ล่าสุด เกี่ยวกับผู้ดูแลสภาพคล่อง Wintermute

“ที่อยู่แบบไร้สาระ” คือที่อยู่แบบเข้ารหัสประเภทหนึ่งที่สอดคล้องกับพารามิเตอร์บางอย่างที่ผู้สร้างกำหนด ซึ่งมักจะเป็นตัวแทนของแบรนด์หรือชื่อของพวกเขา 

แทนที่จะให้ที่อยู่เข้ารหัสเป็นสตริงตัวเลขและตัวอักษรแบบสุ่มที่สร้างโดยเครื่องจักร ที่อยู่แบบไร้สาระจะถูกสร้างขึ้นโดยมนุษย์ ด้วยเหตุนี้เอง ผู้ใช้บน GitHub ได้ระบุว่าที่อยู่ประเภทนี้มีความเสี่ยงต่อการโจมตีแบบเดรัจฉานมากขึ้น

พื้นที่ แฮ็กเกอร์ ขโมย 732 Ethereum วันที่ 25 กันยายน ก่อนโอนเงินเข้าบัญชีโดยตรง ตอนนี้ได้รับการอนุมัติ เครื่องผสมการเข้ารหัสลับ Tornado Cash ตามข้อมูลจาก peckshield.

แม้ว่าจะเป็นผู้ใช้ของ GitHub ที่ค้นพบรายละเอียดเกี่ยวกับการโจมตีครั้งแรก แต่ก็ได้รับการเผยแพร่โดยเครือข่าย 1Inch Network ที่รวบรวมการกระจายอำนาจ (DEX) ซึ่งบอกให้ผู้ใช้ "โอนสินทรัพย์ทั้งหมดของคุณไปยังกระเป๋าเงินอื่นโดยเร็ว" แบ่งปันบล็อก ว่าการหาประโยชน์น่าจะได้ผลอย่างไร 

ภายหลังการโจมตี นักพัฒนาที่อยู่เบื้องหลัง Profanity ได้ดำเนินการเพื่อให้แน่ใจว่าจะไม่มีใครใช้เครื่องมือนี้ต่อไป

นักพัฒนาซอฟต์แวร์ปล่อยให้โค้ดหยาบคายอยู่ในสถานะที่ไม่สามารถคอมไพล์ได้ โดยที่เก็บถาวรนั้นถูกเก็บถาวร โค้ดนี้ไม่ได้ตั้งค่าให้รับการอัปเดตใดๆ เพิ่มเติม

ที่อยู่ Vanity และ crypto hacks

Wintermute CEO Evgeny Gaevoy เมื่อเร็ว ๆ นี้ ยอมรับใน Twitter ว่าการโจมตีขนาดมหึมาในบริษัทของเขา “น่าจะเชื่อมโยงกับการฉวยประโยชน์ประเภทหยาบคายของกระเป๋าเงินซื้อขาย DeFi ของเรา” 

Gaevoy กล่าวว่าบริษัทของเขาซึ่งให้บริการทำการตลาดด้วยอัลกอริธึม ใช้ “คำหยาบคายและเครื่องมือภายในเพื่อสร้างที่อยู่โดยมีจำนวนเลขศูนย์อยู่ข้างหน้า” แต่ยังคง “เหตุผลเบื้องหลังสิ่งนี้คือการเพิ่มประสิทธิภาพของแก๊ส ไม่ใช่ความไร้สาระ”

จนถึงขณะนี้ ยังไม่มีผู้กระทำผิดออกมาพูดถึงการโจมตี Wintermute หรือเหตุการณ์ล่าสุด และเงินไม่ได้รับการกู้คืน ผู้ดูแลสภาพคล่องกำลังคุกคามการดำเนินการทางกฎหมายและได้เสนอเงินรางวัลจำนวน 16 ล้านดอลลาร์สำหรับการคืนเงิน 

การเอารัดเอาเปรียบของเมื่อวานและ Wintermute อาจเป็นเพียงส่วนเล็ก ๆ ของภูเขาน้ำแข็ง

ในบล็อกโพสต์ 1Inch แนะนำว่ายังไม่มีการเปิดเผยการหาประโยชน์เพิ่มเติม โดยเสริมว่า “ผู้ร่วมให้ข้อมูลขนาด 1 นิ้วยังคงพยายามระบุที่อยู่ไร้สาระทั้งหมดที่ถูกแฮ็ก” และดูเหมือนว่า “ดูเหมือนว่าเงินหลายสิบล้านดอลลาร์ในสกุลเงินดิจิทัลอาจถูกขโมยได้ ถ้าไม่ใช่หลายร้อยล้าน”