Un utente crypto ha perso 50 milioni di dollari in USDT dopo essere caduto in una truffa di avvelenamento dell'indirizzo in un'enorme exploit onchain.
Il furto, individuato dalla società di sicurezza Web3 Web3 Antivirus, è avvenuto dopo che l'utente ha inviato una transazione di test di 50 dollari per confermare l'indirizzo di destinazione prima di trasferire il resto dei fondi.
Nel giro di pochi minuti, un truffatore ha creato un indirizzo wallet che assomigliava molto a quello di destinazione, corrispondendo ai primi e agli ultimi caratteri, sapendo che la maggior parte dei wallet abbrevia gli indirizzi e mostra solo prefissi e suffissi.
Il truffatore ha quindi inviato alla vittima un piccolo importo di “dust” per avvelenare la loro cronologia delle transazioni. Sembrando credere che l'indirizzo di destinazione fosse legittimo e correttamente inserito, la vittima ha copiato l'indirizzo dalla propria cronologia delle transazioni e ha finito per inviare $49.999.950 USDT all'indirizzo del truffatore.
Queste piccole transazioni di dust sono spesso inviate a indirizzi con grandi possedimenti, avvelenando le storie delle transazioni nel tentativo di catturare gli utenti in errori di copia e incolla, come questo. I bot che eseguono queste transazioni lanciano una rete ampia, sperando nel successo, che hanno ottenuto in questo caso.
I dati della blockchain mostrano che i fondi rubati sono stati poi scambiati per ether ETH $2.977,70 e spostati tra più portafogli. Diversi indirizzi coinvolti hanno successivamente interagito con Tornado Cash, un mixer di criptovalute sanzionato, nel tentativo di offuscare la traccia della transazione.
In risposta, la vittima ha pubblicato un messaggio onchain che richiedeva il ritorno del 98% dei fondi rubati entro 48 ore. Il messaggio, supportato da minacce legali, offriva all'attaccante $1 milione come ricompensa white-hat se gli asset venivano restituiti per intero.
Il mancato rispetto, avverte il messaggio, innescherà un'escalation legale e accuse penali.
“Questa è la tua ultima opportunità per risolvere questa questione pacificamente,” ha scritto la vittima nel messaggio. “Se non rispetti: faremo escalare la questione attraverso canali internazionali di enforcement legale.
L'avvelenamento degli indirizzi non sfrutta vulnerabilità nel codice o nella crittografia, ma invece sfrutta le abitudini degli utenti, in particolare, la dipendenza dalla corrispondenza parziale degli indirizzi e dal copia e incolla dalla cronologia delle transazioni.
