Estafas

Hacker robó $3.3 millones de 'direcciones de vanidad' de Ethereum creadas con la herramienta Profanity

The Block Crypto
Escrito por The Block Crypto 19.09.2022 3 min de lectura
Hacker robó $3.3 millones de 'direcciones de vanidad' de Ethereum creadas con la herramienta Profanity

Un pirata informático extrajo 3.3 millones de dólares de varias direcciones de Ethereum generadas con una herramienta llamada Profanity, según datos en cadena de Etherscan.

El analista de seguridad anónimo ZachXBT notó por primera vez el exploit, que tuvo lugar el 16 de septiembre.

Las direcciones personalizadas son un tipo de billetera personalizada que contiene nombres o números identificables dentro de ellas. Se utilizan en el sector de las criptomonedas principalmente para presumir, de la misma manera que los conductores de automóviles pagan las costosas matrículas. Estas direcciones se pueden crear usando ciertas herramientas, una de ellas es Profanity.

La semana pasada, el agregador de intercambio descentralizado 1inch publicó un informe de divulgación de seguridad que afirmaba que las direcciones de vanidad generadas con Profanity no eran seguras. Por 1inch, las claves privadas vinculadas a las direcciones generadas por Blasfemias podrían extraerse con cálculos de fuerza bruta.

Pero el problema de seguridad resaltado por 1inch no pudo solucionarse a tiempo para evitar un exploit. El trabajo de desarrollo en Profanity se detuvo hace unos años, según su desarrollador anónimo que se hace llamar johguse.

Incluso antes del informe de 1inch, Johguse había reconocido la vulnerabilidad de la herramienta y advertido a los usuarios contra su uso. En una investigación posterior, el detective en cadena ZachXBT afirmó el viernes pasado que un pirata informático desconocido aparentemente había explotado la misma vulnerabilidad para drenar un estimado de $3.3 millones en criptoactivos de varias direcciones basadas en Blasfemias poco después del informe de 1inch. Los fondos robados se trasladaron de las direcciones de las víctimas a una nueva dirección de Ethereum que se cree que está controlada por el hacker.

El exploit de $3.3 millones ha generado comentarios de expertos que sospechan que los piratas informáticos maliciosos pueden haber sabido sobre el problema de seguridad de antemano.

“Parece que los atacantes estaban sentados en esta vulnerabilidad, tratando de encontrar la mayor cantidad posible de claves privadas de direcciones de vanidad generadas por Blasfemias vulnerables antes de que se conozca la vulnerabilidad. Una vez expuesto públicamente por 1inch, los atacantes cobraron en pocos minutos desde múltiples direcciones de vanidad”, dijo Tal Be'ery, líder de seguridad y director de tecnología de ZenGo.

En particular, 1inch también había declarado en su informe que los piratas informáticos habían utilizado previamente la vulnerabilidad para posibles explotaciones por valor de millones de dólares. Para llegar a su conclusión, 1inch afirmó que pudo volver a calcular algunas de las claves privadas de las direcciones personalizadas de Profanity con chips de GPU.

Tenemos una prueba de concepto de recuperación de una clave privada de una clave pública. Entonces, puede enviarnos una clave pública (no una dirección) generada a través de Blasfemia y le enviaremos una privada, dijo el equipo a The Block en un declaración.