Ethereumove vanity adrese iscrpljene za više od 3 milijuna dolara unatoč upozorenju 1inch-a

Haker je uspio ukrasti kriptovalute u vrijednosti od 3.3 milijuna dolara s nekoliko Ethereum adresa generiranih pomoću alata “Profanity”. Sredstva su iscrpljena čak i nakon što je agregator decentralizirane razmjene 1inch upozorio korisnike o otkrivanju ozbiljne ranjivosti koja dovodi milijune dolara u opasnost.

Prethodno je savjetovao korisnicima koji posjeduju adrese novčanika generirane alatom Profanity da prebace svoju imovinu u drugi novčanik.

Sigurnosno izvješće od 1 inča

Početkom 2022. suradnici 1inch-a primijetili su da Profanity koristi nasumični 32-bitni vektor za postavljanje 256-bitnih privatnih ključeva i posumnjali su da bi to moglo biti nesigurno. Nakon daljnje istrage, primijećeno je više sumnjivih aktivnosti, što je signaliziralo da su Profanity novčanici bili ugroženi.

“Suradnici 1inch-a provjerili su najbogatije adrese na popularnim mrežama i došli do zaključka da većina njih nije stvorena alatom Profanity. No Profanity je jedan od najpopularnijih alata zbog svoje visoke učinkovitosti. Nažalost, to bi moglo značiti samo da je većina Profanity novčanika potajno hakirana.”

Prema 1inch-u, vulgarnost je popularan i "vrlo učinkovit" alat s kojim korisnici mogu kreirati milijune adresa u sekundi. Međutim, postupak koji je koristio Profanity za generiranje adresa također nije bio besprijekoran i bio je podložan napadima.

Sigurnosno otkrivanje prijaviti objavio 1inch prošlog tjedna također je primijetio da je ranjivost možda omogućila hakerima da godinama "potajno" kradu milijune dolara iz novčanika korisnika Profanityja. Suradnici trenutno pokušavaju utvrditi sve kompromitirane privatne adrese.

Ubrzo nakon upozorenja, istražitelj blockchaina ZachXBT obavijestio je o napadu koji je iscrpio više od 3 milijuna dolara sredstava. Srećom, njegova c pomogao je korisniku uštedjeti 1.2 milijuna dolara u kripto i NFT-ovima od hakera koji je imao pristup njihovom novčaniku.

Profancy Devs Abandon Project

Prema Talu Be'eryju, voditelju sigurnosti ZenGoa i tehnološkom direktoru, zlonamjerni entiteti mogao su "sjedili" na ranjivosti u pokušaju da se dočepaju što je više moguće privatnih ključeva ispraznih adresa koje generiraju psovke pune grešaka prije nego što je ranjivost otkrivena. Međutim, unovčili su nakon što je javno razotkriven od strane 1 inča.

U međuvremenu, jedan od programera Profanityja, koji se na Githubu nosi pseudonimom 'johguse', rekao je da su već “napustili” projekt prije nekoliko godina. The komentirati glede istog čitanja,

“Ovaj projekt sam napustio prije nekoliko godina. Skrenuta mi je pozornost na temeljna sigurnosna pitanja u generiranju privatnih ključeva. Izričito savjetujem da ne koristite ovaj alat u njegovom trenutnom stanju. Ovo spremište će uskoro biti dodatno ažurirano dodatnim informacijama u vezi s ovim kritičnim problemom.”