Kötü niyetli aktörler, Ethereum'un 'Create2' işlevini, cüzdan güvenlik uyarılarını ve zehir kripto para birimi adreslerini atlamak için kötüye kullanıyorlar, bu da altı ay içinde 99.000 kişiden 60.000.000 dolarlık kripto para birimi çalmaya yol açtı.
Bu, fonksiyonun vahşice sömürülmesi durumunda, bazı durumlarda 1.6 milyon dolara ulaşan bir kişinin zararları gözlemleyen 'Scam Sniffer' adlı Web3 anti-scam uzmanları tarafından rapor edilmektedir.
Create2, 'Konstantinopolis' yükseltmesinde tanıtılan ve blockchain'de akıllı sözleşmeler oluşturmaya izin veren bir opcode'dur.
Yaratıcının adresine ve nonce'ye dayalı yeni adresler oluşturan orijinal Create Opcode'ın aksine, Create2, sözleşmenin konuşlandırılmasından önce adreslerin hesaplanmasına izin verir.
Ethereum geliştiricileri için güçlü bir araçtır, gelişmiş ve esnek sözleşme etkileşimlerini, parametreye dayalı sözleşme adresi hesaplama, dağıtım esnekliği, zincir dışı işlemler için uygunluk ve bazı DAPP'ler için güçlü bir araçtır.
Create2 önemli faydalar sağladı, ancak onlarla birlikte çeşitli güvenlik etkileri ve yeni saldırı vektörleri de geldi.
Scam Sniffer'ın raporu, Create2'nin kötü niyetli/bildirilen işlem geçmişi olmayan yeni sözleşme adresleri oluşturmak için istismar edilebileceğini ve dolayısıyla cüzdan güvenlik uyarılarını atlayabileceğini açıklıyor.
Bir kurban kötü niyetli bir işlem imzaladığında, saldırgan önceden hesaplanmış adrese bir sözleşme konuşlandırır ve mağdurun varlıklarını geri döndürücü olmayan bir süreç olarak aktarır.
Yakın tarihli bir davada gözlemlenen bir kurban, varlıkları önceden bilgisayarlı bir adrese gönderen bir transfer sözleşmesi imzaladıktan sonra 927.000 dolar değerinde GMX kaybetti.
İkinci Create2 kötüye kullanımı türü, alıcının sahip olduğu meşru adreslere benzer adresler üretiyor, böylece kullanıcıları tehdit aktörlerine varlık göndermeye ve bilinen bir adrese gönderdiklerini düşünmeye kandırıyor.
'Adres zehirlenmesi' olarak adlandırılan şema, çok sayıda adres üretmeyi ve daha sonra hedeflerini kandırmak için her seferinde özel kimlik avı ihtiyaçlarına uygun olanları seçmeyi içerir.
Ağustos 2023'ten bu yana, Scam Sniffer yaklaşık 3 milyon dolar kaybetti, bunlardan biri son zamanlarda para gönderdikleri bir adrese 1,6 milyon dolar aktardı.
Bu saldırıların çoğu radarın altına girdi, sessizce milyonlarca sifonladı, ancak bazıları topluluğun dikkatini çekti.
Yılın başında Metamask, son işlemlerde kurban tarafından kullanılanlarla eşleşen taze oluşturulan adresleri kullanarak dolandırıcılar hakkında uyardı.
Dolandırıcılıkta, tehdit oyuncusu kurbana cüzdanın tarihine adresi kaydetmek için kriptoda az miktarda gönderebilir ve böylece kurbanın ödeme yapma şansını artırabilir.
Ağustos 2023'ün başlarında, bir Binance operatörü yanlışlıkla 'adres zehirlenmesi' hilesini kullanan ancak hatayı hızlı bir şekilde fark eden ve alıcının adresini donduran dolandırıcılara 20 milyon dolar gönderdi.
Özellikle, benzeri kripto para birimi adreslerini kullanmak, Laplas Clipper gibi pano-hiJacking kötü amaçlı yazılım araçlarında görülen ve yöntemin etkinliğini vurgulayan bir numara.
Kripto para birimi işlemleri yaparken, onaylamadan önce sadece ilk ve son üç karakter değil, alıcının adresini iyice kontrol etmeniz önerilir.
Kripto firması Nansen, satıcı ihlalinden sonra kullanıcılardan şifreleri sıfırlamalarını ister
Yeni MacOS 'Kandykorn' Kötü Yazılım Hedefleri Kripto para birimi mühendisleri
Filistin Kripto Bağış Dolandırıcıları İsrail-Hamas Savaşı'nın ortasında ortaya çıkıyor
Bilgisayar korsanları, kötü niyetli komut dosyalarını saklamak için binance akıllı zincir sözleşmelerini kullanır
Mixin Network, 200 milyon dolarlık hack'i takiben operasyonları askıya alıyor
Kaynak: Bleeping Computer