Erreur coûteuse : une victime perd 68 millions de dollars suite à une escroquerie par empoisonnement à l’adresse

Les pirates de crypto-monnaie ont fait une autre victime majeure, l’incitant à envoyer 68 millions de dollars dans un portefeuille qu’il pensait appartenir à quelqu’un d’autre.

Les données de la blockchain indiquent qu’un utilisateur d’Ethereum autrefois riche a perdu tous ses avoirs en Bitcoin après que des pirates ont contaminé l’historique du portefeuille d’un destinataire. L’utilisateur ne détient désormais que 1,6 million de dollars en crypto à son adresse.

Le danger de l’empoisonnement d’adresse

Selon Etherscan, les actifs restants du portefeuille d’envoi comprennent 0,89 ETH (2 747 $) et 1,63 million de pièces stables DAI indexées sur le dollar.

Les actifs volés à la victime comprenaient 1155 Wrapped Bitcoin (WBTC) – un jeton qui fonctionne comme un stablecoin pour Bitcoin sur le réseau Ethereum, reflétant le prix de l’actif numérique dominant. Naturellement, le WBTC est vulnérable aux nombreux piratages et exploits courants dans l’écosystème Ethereum, tels que l’empoisonnement d’adresse.

La contamination du portefeuille ou « empoisonnement d’adresse » consiste à envoyer une transaction – généralement de valeur nulle ou négligeable – vers le portefeuille d’une victime, simplement pour que l’adresse de l’attaquant apparaisse dans l’historique des transactions de la victime.

En particulier, les attaquants généreront délibérément leur adresse avec plusieurs caractères de début et de fin qui correspondent à ceux d’une adresse appartenant à la victime. Les logiciels de portefeuille populaires réduisent souvent les adresses pour afficher uniquement le premier et le dernier caractères, rendant les différences au milieu indétectables en surface.

Lutter contre l’empoisonnement en action

Dans ce cas, l’adresse de l’attaquant et l’adresse réelle de la cible comportaient des caractères commençant par 0xd9A1 et se terminant par 853a91.

Idéalement, l’attaquant espère essayer de copier cette adresse de son historique la prochaine fois qu’il aura l’intention de recevoir une transaction, croyant à tort qu’il s’agit de son adresse ou de celle d’une personne qu’il connaît.

L’année dernière, des empoisonneurs d’adresses ont ciblé une série d’utilisateurs de SafeWallet, volant 2 millions de dollars en une semaine. En février dernier, un utilisateur de Kraken s’est vu voler 1 million de dollars après que des fraudeurs aient empoisonné son historique en imitant l’interaction antérieure de la victime avec l’échange.

Metamask suggère aux utilisateurs d’éviter de copier les transactions de leur historique et d’ajouter les adresses fréquemment utilisées à leur carnet d’adresses pour éviter d’utiliser celles qui ne sont pas spécifiquement sur liste blanche.

« Ce conseil s’applique autant à votre propre adresse qu’à celles des autres personnes à qui vous envoyez des fonds », déclare le fournisseur de portefeuille sur son site Web.

L’erreur coûteuse : la victime perd 68 millions de dollars dans une escroquerie par empoisonnement d’adresse apparaît en premier sur CryptoPotato.