ผู้ใช้ส่ง USDT 50 ล้านดอลลาร์ ไปยังวอลเล็ตปลอมในเหตุการณ์การโกงแบบคัดลอก-วาง
สรุปสั้น
- ผู้เสียหายสูญเสีย USDT 50 ล้านดอลลาร์หลังจากคัดลอกที่อยู่ของออฟไลน์จากประวัติการทำธุรกรรม
- ผู้ออฟไลน์ใช้ “dust transaction” (การทำธุรกรรมขนาดเล็ก) เพื่อแทรกที่อยู่ที่คล้ายคลึงกับที่อยู่แท้
- เงินที่ถูกขโมยถูกแปลงเป็น ETH และส่งผ่าน Tornado Cash
- ผู้เสียหายเสนอ bounty (เงินรางวัล) 1 ล้านดอลลาร์และให้เวลา 48 ชั่วโมงก่อนดำเนินการทางกฎหมาย
ในหนึ่งในคดีออฟไลน์คริปโตส่วนบุคคลที่ใหญ่ที่สุดที่รายงานในปีนี้ ผู้ใช้สูญเสีย USDT 50 ล้านดอลลาร์ผ่านกลยุทธ์หลอกลวงที่เรียกว่า “address poisoning” (การปนเปื้อนที่อยู่). เหตุการณ์นี้ชี้ให้เห็นถึงความเสี่ยงที่เพิ่มมากขึ้นสำหรับผู้ถือคริปโตเครนซี โดยเฉพาะผู้ที่อาศัยประวัติการทำธุรกรรมเมื่อส่งเงิน. ขณะที่ผู้ออฟไลน์ยังคงใช้ประโยชน์จากรูปแบบพฤติกรรมมากกว่าความอ่อนแอทางเทคนิค ความสำคัญของความระมัดระวังในการจัดการสินทรัพย์ดิจิทัลจึงกลายเป็นสิ่งสำคัญมากขึ้น.
ที่อยู่ปลอมนำไปสู่การสูญเสียขนาดใหญ่บนเชน
นักลงทุนคริปโตโอน USDT เกือบ 50 ล้านดอลลาร์ให้กับผู้ออฟไลน์หลังจากคัดลอกที่อยู่ปลอมที่ถูกแทรกเข้าไปในประวัติการทำธุรกรรมโดยไม่ทราบ. บริษัท Web3 Antivirus ระบุเหตุการณ์นี้ ซึ่งเริ่มต้นด้วยการโอนเงินทดสอบ 50 ดอลลาร์มาตรฐานเพื่อตรวจสอบที่อยู่ปลายทางก่อนทำธุรกรรมขนาดใหญ่ transaction.
ผู้ออฟไลน์สร้างที่อยู่วอลเล็ตที่คล้ายคลึงกับที่อยู่ของผู้รับที่แท้อย่างรวดเร็ว. โดยการเลียนแบบอักขระแรกและสุดท้าย ที่อยู่ดูเหมือนถูกต้องในอินเทอร์เฟซของวอลเล็ต ซึ่งมักจะย่อที่อยู่ยาวๆ เพื่อแสดงผล. จากนั้นผู้โจมตีจึงส่งการทำธุรกรรม “dust” ขนาดเล็กให้กับผู้เสียหาย ทำให้ที่อยู่ปลอมปรากฏในบันทึกกิจกรรมล่าสุดของพวกเขา.
ผู้ใช้คัดลอกที่อยู่จากประวัติการทำธุรกรรมที่ถูกปนเปื้อนนี้และโอน USDT 49,999,950 ดอลลาร์ให้กับวอลเล็ตของผู้โจมตี. วิธีการออฟไลน์นี้อาศัยการใช้ประโยชน์จากความไว้วางใจในการแสดงผลที่อยู่ย่อและนิสัยการคัดลอก-วางในชีวิตประจำวัน.
เงินที่ถูกขโมยถูกล้างผ่านมิกเซอร์หลังจากการโจมตี
ข้อมูลบล็อกเชนแสดงว่า USDT ที่ถูกขโมยถูกแลกเป็น Ether อย่างรวดเร็วและแจกจ่ายไปยังวอลเล็ตหลายแห่ง. บางที่อยู่ที่เกี่ยวข้องกับออฟไลน์ต่อมาก็โต้ตอบกับ Tornado Cash ซึ่งเป็นมิกเซอร์คริปโตที่เน้นความเป็นส่วนตัวที่ถูกระงับในหลายประเทศ. เครื่องมือนี้ช่วยให้ผู้ใช้สามารถซ่อนที่มาที่ไปของสินทรัพย์ดิจิทัล ซึ่งทำให้การพยายามติดตามหรือเรียกคืนเงินยากขึ้น.
การออฟไลน์แบบ address poisoning ไม่ส่งผลเสียต่อโค้ดส्मาร์ตคอนแทรกต์หรือโครงสร้างบล็อกเชน. แทนที่จะเป็นเช่นนั้น พวกเขาเป้าหมายที่องค์ประกอบมนุษย์ของการทำธุรกรรมคริปโต. โดยการปนเปื้อนวอลเล็ตด้วยการทำธุรกรรมขนาดเล็กที่หลอกลวง เพิ่มโอกาสที่จะถูกคัดลอกโดยผิดพลาดในการโอนเงินมูลค่ามาก.
การโจมตีเหล่านี้มักเกี่ยวข้องกับบอทอัตโนมัติที่ตรวจสอบกิจกรรมบล็อกเชนสำหรับเป้าหมายที่เป็นไปได้ โดยเฉพาะวอลเล็ตที่มียอดคงเหลือมากหรือมีการเคลื่อนไหวบ่อย. เมื่อถูกระบุแล้ว บอทจะส่งที่อยู่ที่คล้ายคลึงกันผ่านการโอนขนาดเล็กในความหวังที่จะทำให้ผู้ใช้ตกใจ.
ผู้เสียหายตอบสนองด้วยการคุกคามทางกฎหมายและเสนอ bounty
ผู้เสียหายของออฟไลน์เผยแพร่ข้อความบนเชนเสนอ bounty (เงินรางวัล) 1 ล้านดอลลาร์สำหรับผู้ที่คืนเงินกลับ 98% ของเงินที่ถูกขโมย. ข้อความนี้รวมถึงกำหนดเวลา 48 ชั่วโมงและเตือนถึงผลกระทบทางกฎหมายหากผู้โจมตีไม่คืนเงินภายในช่วงเวลานั้น.
“นี่คือโอกาสสุดท้ายของคุณในการแก้ไขเรื่องนี้อย่างสงบสุข” ข้อความระบุ. ผู้ส่งเตือนว่าการไม่ปฏิบัติตามจะส่งผลให้ต้องติดต่อตำรวจระหว่างประเทศ.
คดีนี้ได้ดึงดูดความสนใจเพิ่มเติมไปที่ความเสี่ยงด้านความปลอดภัยที่เกี่ยวข้องกับการเก็บตัวเอง (self-custody) และการจัดการธุรกรรมด้วยมือ. ผู้เชี่ยวชาญแนะนำให้ผู้ใช้หลีกเลี่ยงการอาศัยประวัติการทำธุรกรรมสำหรับการใช้ที่อยู่ซ้ำ นำการอนุญาตที่อยู่ (address whitelisting) ไปใช้เมื่อเป็นไปได้ และตรวจสอบที่อยู่วอลเล็ตทั้งหมดก่อนส่งเงินมูลค่ามาก.