Um indivíduo infelizmente foi vítima de envenenamento de endereços, perdendo mais de 68 milhões de dólares em WBTC. Como é que isto aconteceu
$68 milhões em WBTC perdidos numa má transação
Um indivíduo infelizmente foi vítima de envenenamento de endereço, o que o levou a perder mais de US $ 68 milhões na forma de WBTC, um token apoiado pelo preço do Bitcoin na forma de ERC-20.
Cyvers Alerts relatou pela primeira vez a notícia, afirmando que alguém havia perdido 1.155 WBTC em uma única transação.
ALERTAEstamos enganados, ou alguém realmente perdeu $68M de $WBTC? Nosso sistema detectou outro endereço vítima de envenenamento de endereço, perdendo 1155 $WBTC
Vítima: https://t.co/5NKlOFnepJ
Endereço do envenenador: https://t.co/R6fF0QipBH
Transação envenenada:… pic.twitter.com/UpG34ZcZvY
– Cyvers Alerts (@CyversAlerts) 3 de maio de 2024
Tendo como alvo carteiras de criptomoedas bem abastecidas em particular, o envenenamento de endereços envolve o envio de pequenas quantias na forma de qualquer token para o endereço que se deseja capturar. A subtileza reside no facto de o endereço que envia os fundos ter os mesmos caracteres no início e no fim que um endereço utilizado pela futura vítima, na esperança de que esta última envie fundos para o destino errado ao investigar o seu histórico.
De facto, na maioria das carteiras, apenas o primeiro e o último caracteres do endereço são geralmente apresentados para facilitar a utilização. Assim, se verificarmos apenas os últimos caracteres, podemos rapidamente cometer um erro, e foi exatamente isso que aconteceu à pessoa de quem estamos a falar hoje.
Como pode ver abaixo, o início e o fim dos endereços são exatamente os mesmos. No entanto, após os primeiros 6 caracteres, o endereço torna-se diferente. Mas isto só é visível nos browsers, uma vez que as carteiras só podem apresentar um determinado número de caracteres.
Assim, pensando que estava a enviar os seus 68 milhões de dólares em WBTC para o endereço habitual (o último da lista abaixo), a vítima transferiu-os para o endereço falso. Este endereço foi entretanto identificado como um endereço de phishing pelo explorador Etherscan
Para criar endereços falsos como este, os indivíduos mal-intencionados usam o que é conhecido como endereços de vaidade. Em vez de criar um endereço de forma aleatória (como acontece quando se cria uma carteira MetaMask, por exemplo), certos algoritmos conseguem criar endereços com determinados caracteres específicos, mas isto é dispendioso em termos de recursos.
Hoje em dia, algumas carteiras como a Rabby Wallet avisam os utilizadores quando estão prestes a enviar fundos para um endereço com o qual nunca interagiram antes, mitigando assim este tipo de risco.
