Seorang investor cryptocurrency telah kehilangan 4,556 Ethereum, yang bernilai sekitar $12,4 juta, setelah menjadi korban serangan “pengacauan alamat” yang canggih.
Specter, seorang analis blockchain yang menggunakan nama samaran, melaporkan bahwa pencurian terjadi sekitar 32 jam setelah penyerang “mengotori” dompet korban dengan transaksi nominal.
Bagaimana Alamat Palsu yang Mirip Menghabiskan Jutaan Pemegang Ethereum
Menurut analisis on-chain Specter, penyerang menghabiskan dua bulan memantau aktivitas transaksi korban. Selama periode ini, hacker secara khusus mengidentifikasi alamat setoran yang digunakan untuk penyelesaian OTC.
Penyerang menggunakan perangkat lunak generasi alamat vanity untuk merancang dompet yang mirip. Alamat penipuan ini berbagi karakter alfanumerik awal dan akhir yang persis sama dengan tujuan yang diinginkan korban.
Pencemaran alamat bergantung pada kecenderungan pengguna untuk memeriksa hanya beberapa karakter pertama dan terakhir dari string heksadesimal yang panjang. Dalam hal ini, alamat penipuan dan alamat OTC yang sah terlihat identik sekilas.
Penyerang pertama kali memulai transaksi kecil ke dompet korban, sebuah taktik yang dirancang untuk mengisi log aktivitas pengguna. Langkah strategis ini memastikan alamat yang terkorupsi muncul secara mencolok di bagian atas riwayat 'transaksi terbaru'.
Bergantung pada daftar yang terkompromi ini, korban secara tidak sengaja menyalin alamat yang terkontaminasi daripada sumber yang sah saat mencoba memindahkan $12.4 juta.
Insiden ini menandai pencurian besar kedua yang melibatkan angka delapan melalui vektor spesifik ini dalam beberapa minggu terakhir. Bulan lalu, seorang trader crypto yang terpisah kehilangan sekitar $50 juta dalam skema yang hampir identik.
Para pemangku kepentingan industri berpendapat bahwa serangan ini semakin meningkat karena antarmuka dompet sering memotong alamat untuk menghemat ruang layar. Pilihan desain ini secara efektif menyembunyikan karakter tengah di mana ketidaksesuaian berada.
Sementara itu, pelanggaran ini menimbulkan pertanyaan serius mengenai protokol verifikasi di antara investor kelas institusi.
Sementara pedagang ritel sering mengandalkan salin-tempel alamat, entitas yang memindahkan jutaan biasanya menerapkan prosedur daftar putih yang ketat dan transaksi uji.
Oleh karena itu, firma keamanan blockchain Scam Sniffer telah mendesak investor untuk meninggalkan ketergantungan pada riwayat transaksi untuk pembayaran crypto yang berulang. Sebagai gantinya, mereka merekomendasikan untuk menggunakan buku alamat yang terverifikasi dan dikodekan keras untuk mengurangi risiko pemalsuan antarmuka.