การเป็นพิษที่อยู่ MetaMask ต้องการยาแก้พิษอย่างง่าย

MetaMask กำลังเตือนผู้ใช้ให้ระวังสิ่งใหม่ที่เพิ่มขึ้น การหลอกลวง crypto เรียกว่า “พิษที่อยู่” แต่ข่าวนี้มาช้าไปสำหรับบางคน

กระเป๋าเงิน Cryptocurrency สามารถรวมบัญชีตั้งแต่หนึ่งบัญชีขึ้นไป แต่ละบัญชีมีที่อยู่ที่สร้างด้วยการเข้ารหัส MetaMask อธิบายใน ปล่อย. อย่างไรก็ตาม ตัวเลขฐานสิบหกแบบยาวเหล่านี้จงใจให้จำได้ยาก ทำให้ต้องใช้การคัดลอกและวางบ่อยๆ นี่คือสิ่งที่ระบุถึงพิษที่พยายามใช้ประโยชน์จาก

ที่อยู่กลายเป็น "พิษ" ได้อย่างไร

แทนที่จะใช้การแฮ็กที่ซับซ้อนซึ่งทำลายโครงสร้างพื้นฐานของโปรโตคอล การจัดการกับพิษจะอาศัยจิตวิทยาของมนุษย์และกลไกของการทำธุรกรรม crypto สถานการณ์ต่อไปนี้เป็นกรณีตัวอย่าง

ในกรณีนี้ ผู้ใช้ A ทำธุรกรรมเป็นประจำกับผู้ใช้ B ซึ่งผู้โจมตี C ตระหนักถึงการใช้ซอฟต์แวร์ที่ตรวจสอบการโอนโทเค็นบางอย่าง ซึ่งโดยทั่วไปคือ Stablecoins จากนั้นผู้โจมตีจะใช้ตัวสร้างที่อยู่ "vanity" เพื่อสร้างที่อยู่ของแฮ็กเกอร์ C ที่ใกล้เคียงกับที่อยู่ของผู้ใช้ B

จากนั้นผู้โจมตี C จะทำธุรกรรมมูลค่า $0 ระหว่างที่อยู่ผู้ใช้ A และที่อยู่ของแฮ็กเกอร์ C ซึ่งส่งผลให้ที่อยู่นั้น 'เป็นพิษ' เนื่องจากที่อยู่ของแฮ็กเกอร์ C กลายเป็นแคชเหนือที่อยู่ของผู้ใช้ B สำหรับที่อยู่ของผู้ใช้ A เนื่องจากที่อยู่ของแฮ็กเกอร์ C แบ่งปัน ตัวเลข 4 หลักแรกและตัวสุดท้ายเหมือนกันกับที่อยู่ของผู้ใช้ B ผู้โจมตี C หวังว่าผู้ใช้ A ใช้ที่อยู่ของตนโดยไม่ได้ตั้งใจเมื่อพยายามทำธุรกรรมกับผู้ใช้ B 

การหลอกลวงสามารถหลีกเลี่ยงได้อย่างง่ายดายโดยการตรวจสอบที่อยู่อย่างละเอียดก่อนที่จะทำธุรกรรมไม่ว่าจะน่าเบื่อก็ตาม

ข้อผิดพลาดของ MetaMask

ผู้ใช้บางคนรู้สึกผิดหวังกับความล่าช้าในการประกาศข่าว “ในที่สุด MetaMask ก็บันทึกการโจมตีด้วยพิษจากที่อยู่ได้หลังจากผ่านไป 2 เดือนขึ้นไป” Han Tuzun ทวีต โพสต์ของเขาให้ก ลิงค์ ถึงบทความที่อธิบายถึงการหลอกลวงอย่างละเอียดตั้งแต่ต้นเดือนธันวาคม

Tuzun เตือนผู้ใช้เพิ่มเติมเกี่ยวกับตัวสร้างที่อยู่ตามตัวอักษรที่สามารถสร้างที่อยู่ใกล้เคียงกันในไม่กี่วินาที ผู้ใช้ Twitter ยังมอบหมายให้ผู้สร้างโครงสร้างพื้นฐานเตือนผู้ใช้อย่างเพียงพอใน UI ต่อการโจมตีดังกล่าว

ความพ่ายแพ้ครั้งล่าสุดสำหรับ MetaMask นี้เกิดขึ้นหลังจากที่ต้องเผชิญกับฟันเฟืองสาธารณะที่รุนแรงหลังจากการอัปเดตนโยบายการเก็บรักษาข้อมูล บริษัทปรับปรุงนโยบายความเป็นส่วนตัวเมื่อปลายปีที่แล้ว นำไปสู่รายงานว่าจะส่งผลให้มีการรวบรวมกระเป๋าเงินและที่อยู่ IP ของผู้ใช้

สิ่งนี้นำไปสู่อย่างรวดเร็ว การตอบสนองอย่างเผ็ดร้อน จากชุมชน crypto ซึ่งแจ้งโพสต์จากผู้พัฒนา ConsenSys เมื่อวันที่ 6 ธันวาคม เพื่อพยายามสร้างความมั่นใจให้กับผู้ใช้