- ZachXBT prześledził wycieki środków z portfeli w sieciach EVM, przy czym straty na jeden adres pozostają niewielkie.
- Pojedynczy adres Ethereum stale otrzymuje środki, co sygnalizuje aktywność w różnych łańcuchach.
- Analitycy badają zatwierdzenia, podpisy i rozszerzenia, jednak metoda wykorzystania luki pozostaje nieznana.
Badacz blockchain ZachXBT ostrzegł społeczność krypto przed niewyjaśnioną aktywnością związaną z drenowaniem portfeli, która dotyka wielu blockchainów kompatybilnych z EVM. Ta aktywność doprowadziła już do strat przekraczających 107 000 dolarów. Pojedyncze portfele tracą zazwyczaj mniej niż 2 000 dolarów. Mimo to liczba zainfekowanych adresów stale rośnie. Źródło wycieków pozostaje niezidentyfikowane.
Analiza on-chain powiązała skradzione środki z jednym adresem Ethereum, który wielokrotnie otrzymuje transfery od niepowiązanych ofiar. Adres 0xAc2e5153170278e24667a580baEa056ad8Bf9bFB pojawił się w wielu transakcjach związanych z tą aktywnością. Środki nadal przesyłane są na ten adres, co wskazuje, że wycieki się nie zakończyły.
Zamiast dużych, pojedynczych kradzieży, aktywność ta polega na drobnych wypłatach rozproszonych po wielu portfelach. Ten schemat wydaje się opóźniać wykrycie. W rezultacie straty narastają po cichu, podczas gdy ofiary pozostają nieświadome do momentu, gdy stan konta znacznie spadnie.
Wzorzec cross-chain przyciąga uwagę
Raporty pokazują, że aktywność obejmuje kilka sieci opartych o EVM. Według BitPinas, zainfekowane portfele pojawiają się na Ethereum, BNB Chain, Base, Arbitrum, Polygon, Optimism i innych ekosystemach EVM. Szeroki zakres zaangażowanych sieci rodzi pytania o wspólny punkt awarii.
Ponieważ łańcuchy EVM opierają się na podobnych standardach portfeli i procesach podpisywania, śledczy podejrzewają, że luka nie dotyczy jednego protokołu. Może natomiast obejmować wspólną logikę portfeli lub obsługę uprawnień. Wiele portfeli korzysta z podobnych procesów zatwierdzania i okienek dla użytkowników.
Mimo rosnącej ilości danych, nie pojawiła się potwierdzona przyczyna. Analitycy nadal badają nadużycia związane z zatwierdzaniem tokenów, podstępne żądania podpisów oraz potencjalne problemy z łańcuchem dostaw wpływające na oprogramowanie portfeli. Część badań skupia się również na rozszerzeniach do przeglądarek. Żadna z tych teorii nie została jak dotąd potwierdzona.
Powiązane: ZachXBT ujawnia ukrytego współzałożyciela BlockDAG i zaginione miliony
Wydarzenia z grudnia dają szerszy kontekst
Wycieki środków z portfeli następują po miesiącu naznaczonym szeregiem poważnych incydentów bezpieczeństwa w krypto. PeckShield poinformował o 26 znaczących exploitach w grudniu. Niewielka liczba przypadków odpowiadała za większość strat. Największa z nich dotyczyła pojedynczego użytkownika, który stracił 50 milionów dolarów w wyniku ataku address poisoning.
W atakach typu address poisoning, przestępcy wysyłają drobne transakcje z adresów bardzo podobnych do tych prawdziwych. Ofiary później kopiują błędny adres z historii transakcji podczas transferu. Środki trafiają wtedy nieodwracalnie do atakującego. Oszustwa te polegają na podobieństwie wizualnym, a nie na błędach technicznych.
PeckShield udokumentował także inny grudniowy incydent związany z wyciekiem klucza prywatnego do portfela multi-signature. To naruszenie doprowadziło do strat na poziomie ok. 27,3 mln dolarów. Sprawa pokazuje, że nawet portfele wymagające wielu zatwierdzeń pozostają podatne, gdy zawodzi bezpieczeństwo kluczy.
Portfele przeglądarkowe pozostają narażone
Portfele przeglądarkowe zawsze są najbardziej atakowane, głównie dlatego, że są stale połączone z Internetem. PeckShield wymienił jeden z exploitów z 25 grudnia, który wyczerpał ok. 7 mln dolarów z rozszerzenia przeglądarkowego Trust Wallet. Inny incydent w grudniu dotyczył protokołu Flow, powodując straty ok. 3,9 mln dolarów.
Te incydenty wyraźnie wskazują na ryzyka w środowiskach portfeli online. Większość badaczy bezpieczeństwa wskazuje na portfele sprzętowe, które przechowują klucze prywatne offline, jako najbezpieczniejszą opcję do długoterminowego przechowywania środków.
W odniesieniu do obecnego wycieku środków z portfeli EVM, zespoły ds. bezpieczeństwa sugerują użytkownikom cofnięcie nieużywanych zatwierdzeń, sprawdzenie powiązanych aplikacji oraz ograniczenie aktywności podczas podpisywania. Wielu z nich zaleca także przeniesienie aktywów do nowych portfeli z nowymi seed phrase’ami podczas trwającego monitoringu.
