Hackere henter nesten 1 million dollar i krypto fra Ethereum 'Vanity Adress'-utnyttelse

Omtrent $950,000 XNUMX i krypto har blitt stjålet fra en Ethereum "forfengelighetsadresse" generert med et verktøy kalt Profanity. Utnyttelsen utnyttet en lignende sårbarhet knyttet til nylig angrep på 160 millioner dollar på markedsmaker Wintermute.

En "forfengelighetsadresse" er en type kryptoadresse som samsvarer med visse parametere fastsatt av skaperen, ofte som representerer deres merke eller navn. 

I stedet for at kryptoadressen er en tilfeldig, maskingenerert streng med tall og bokstaver, vil en forfengelighetsadresse være menneskeskapt. Det er av denne grunn det brukere på GitHub har indikert at denne typen adresser er mer sårbare for brute force-angrep.

De hacker stjal 732 Ethereum den 25. september før midlene overføres rett til nå sanksjonert kryptomikser Tornado Cash, ifølge dataene fra PeckShield.

Selv om det var GitHubs brukere som først avdekket detaljer om angrepet, ble det deretter publisert av den desentraliserte børsen (DEX) aggregatoren 1Inch Network som ba brukerne "overføre alle eiendelene dine til en annen lommebok ASAP." deler en blogg om hvordan utnyttelsen sannsynligvis har fungert. 

I etterkant av angrepene har utviklerne bak Profanity tatt skritt for å sikre at ingen fortsetter å bruke verktøyet.

Profanitys kode har blitt liggende i en ukompilerbar tilstand av utviklerne, og depotet blir arkivert. Koden er ikke satt til å motta flere oppdateringer.

Vanity-adresser og krypto-hack

Wintermute-sjef Evgeny Gaevoy nylig innrømmet på Twitter at det gigantiske angrepet på selskapet hans "sannsynligvis var knyttet til utnyttelsen av profanity-typen av vår DeFi-handelslommebok." 

Gaevoy sa at selskapet hans, som tilbyr algoritmiske markedsskapende tjenester, brukte "bannelser og et internt verktøy for å generere adresser med mange nuller foran", men fastholdt "årsaken bak dette var gassoptimalisering, ikke forfengelighet."

Foreløpig har ingen gjerningsmann meldt seg angående Wintermute-angrepet eller den siste hendelsen, og ingen midler har blitt gjenvunnet. Markedsmakeren truer med rettslige skritt og har tilbudt en dusørbelønning på 16 millioner dollar for retur av midlene. 

Gårsdagens utnyttelse og Wintermutes kan også bare være toppen av isfjellet.

I sitt blogginnlegg antydet 1Inch at ytterligere utnyttelser ennå ikke er avdekket, og la til at "1inch-bidragsytere prøver fortsatt å finne ut alle forfengelighetsadressene som ble hacket" og at det "ser ut som titalls millioner dollar i kryptovaluta kan bli stjålet , om ikke hundrevis av millioner.»