Título original: “50 milhões de dólares roubados, tudo por não verificar cuidadosamente o endereço”
Autor original: Eric, Foresight News
Na madrugada de ontem, horário de Pequim, o analista on-chain conhecido como Specter no X descobriu um caso em que quase 50 milhões de USDT foram transferidos para um endereço de hacker devido à falta de verificação cuidadosa do endereço de transferência.
Segundo verificação do autor, esse endereço (0xcB80784ef74C98A89b6Ab8D96ebE890859600819) retirou 50 USDT da Binance por volta das 13h do dia 19, horário de Pequim, para um teste antes de uma retirada de grande valor.
Cerca de 10 horas depois, o endereço retirou de uma só vez 49.999.950 USDT da Binance, somando aos 50 USDT retirados anteriormente, totalizando exatamente 50 milhões.
Cerca de 20 minutos depois, o endereço que recebeu os 50 milhões de USDT transferiu primeiro 50 USDT para 0xbaf4…95F8b5 para teste.
Menos de 15 minutos após a conclusão da transferência de teste, o endereço do hacker 0xbaff…08f8b5 transferiu 0,005 USDT para o endereço que continha os restantes 49.999.950 USDT. O endereço usado pelo hacker era muito semelhante, no início e no fim, ao endereço que recebeu os 50 USDT, caracterizando um claro ataque de “envenenamento de endereço”.
10 minutos depois, quando o endereço começando com 0xcB80 se preparava para transferir os mais de 40 milhões de USDT restantes, provavelmente por descuido copiou o endereço da transação anterior, ou seja, o endereço usado pelo hacker para o “envenenamento”, enviando diretamente quase 50 milhões de USDT para as mãos do hacker.
Com os 50 milhões de dólares em mãos, o hacker iniciou o processo de lavagem de dinheiro 30 minutos depois. Segundo monitoramento da SlowMist, o hacker primeiro trocou USDT por DAI via MetaMask, depois usou todo o DAI para comprar cerca de 16.690 Ethereum, deixou 10 ETH e transferiu o restante para o Tornado Cash.
Por volta das 16h de ontem, horário de Pequim, a vítima enviou uma mensagem on-chain ao hacker, afirmando que já havia formalmente apresentado uma ação penal e, com a assistência de autoridades policiais, agências de segurança cibernética e múltiplos protocolos blockchain, havia coletado uma grande quantidade de informações confiáveis sobre as atividades do hacker. O proprietário dos fundos afirmou que o hacker poderia ficar com 1 milhão de dólares e devolver os 98% restantes; se o hacker assim o fizesse, não haveria mais perseguição. Caso contrário, buscaria responsabilização civil e criminal por meios legais e tornaria pública a identidade do hacker. Até o momento, porém, o hacker não deu qualquer sinal.
De acordo com dados compilados pela plataforma Arkham, esse endereço tem registros de transferências de grande valor com endereços da Binance, Kraken, Coinhako e Cobo. Binance, Kraken e Cobo dispensam apresentações, enquanto Coinhako pode ser um nome relativamente desconhecido. Coinhako é uma plataforma de negociação de criptomoedas local de Singapura, fundada em 2014, que em 2022 obteve da Autoridade Monetária de Singapura uma licença de grande instituição de pagamento, sendo uma plataforma regulada em Singapura.
Considerando que o endereço utiliza plataformas de negociação em várias regiões e serviços de custódia da Cobo, além da capacidade de rastrear rapidamente o hacker em contato com várias partes dentro de 24 horas após o incidente, o autor supõe que esse endereço provavelmente pertence a uma instituição, e não a um indivíduo.
Um “descuidado” que causou um grande erro
A única explicação para o sucesso de um ataque de “envenenamento de endereço” é a “negligência”. Esse tipo de ataque pode ser evitado simplesmente verificando novamente o endereço antes da transferência, mas claramente o protagonista deste incidente economizou nesse passo crucial.
Os ataques de envenenamento de endereço começaram a aparecer em 2022, e a origem da história está nos geradores de “endereços bonitos”, ou seja, ferramentas que permitem personalizar o início de um endereço EVM. Por exemplo, o próprio autor poderia gerar um endereço começando com 0xeric para torná-lo mais marcante.
Essa ferramenta foi posteriormente descoberta por hackers que, devido a problemas de design, podiam forçar a chave privada, resultando em vários grandes casos de roubo de fundos. Mas a capacidade de gerar inícios e fins personalizados também deu a pessoas mal-intencionadas uma “ideia diabólica”: gerar endereços com início e fim semelhantes aos endereços comumente usados pelo usuário para transferências e transferir fundos para outros endereços frequentemente usados pelo usuário. Assim, alguns usuários, por descuido, podem confundir o endereço do hacker com o seu próprio e ativamente enviar ativos on-chain para o bolso do hacker.
Registros on-chain anteriores mostram que o endereço começando com 0xcB80 já era um dos principais alvos de envenenamento por hackers antes deste ataque, e os ataques de envenenamento de endereço contra ele começaram há quase um ano. Esse método de ataque é essencialmente uma aposta do hacker de que, um dia, você vai se cansar ou não prestar atenção e cair no golpe. E é justamente esse método de ataque, que parece óbvio, que faz com que os “grandes desatentos” se tornem vítimas, um após o outro.
Sobre este incidente, o cofundador da F2Pool, Wang Chun, postou no X expressando solidariedade à vítima e contou que, no ano passado, para testar se seu endereço tinha vazamento de chave privada, transferiu 500 Bitcoin para ele, e então 490 Bitcoin foram roubados por hackers. Embora a experiência de Wang Chun não esteja relacionada a ataques de envenenamento de endereço, ele provavelmente quis expressar que todos têm momentos de “burrice” e não se deve culpar a vítima pela negligência, mas sim apontar o dedo para os hackers.
50 milhões de dólares não é uma quantia pequena, mas não é o maior valor roubado nesse tipo de ataque. Em maio de 2024, um endereço transferiu WBTC no valor de mais de 70 milhões de dólares para um endereço de hacker devido a esse tipo de ataque, mas a vítima, com a assistência da empresa de segurança Match Systems e da plataforma de negociação Cryptex, recuperou quase todos os fundos através de negociação on-chain. No entanto, neste incidente, o hacker rapidamente converteu os fundos roubados em ETH e os transferiu para o Tornado Cash, sendo incerto se serão recuperados.
Em abril, o cofundador e diretor de segurança da Casa, Jameson Lopp, alertou que os ataques de envenenamento de endereço estão se espalhando rapidamente, com mais de 48 mil ocorrências apenas na rede Bitcoin desde 2023.
Incluindo links falsos de reuniões do Zoom no Telegram, esses métodos de ataque não são sofisticados, mas é justamente essa “simplicidade” que pode fazer as pessoas baixarem a guarda. Para nós na floresta sombria, estar sempre atento nunca é demais.
