价值约95万美元的加密货币从Profanity生成的"虚荣地址"中被盗
近日,一个由Profanity工具生成的以太坊"虚荣地址"被盗,损失约95万美元的加密货币。该漏洞利用方式与近期做市商Wintermute遭受的1.6亿美元攻击事件中的漏洞类似。
什么是"虚荣地址"?
"虚荣地址"是一种符合创建者设定特定参数的加密地址,通常用于代表其品牌或名称。与随机生成的机器字符串不同,虚荣地址是由人工生成的。正是由于这一特性,GitHub用户指出这类地址更容易受到暴力破解攻击。
根据PeckShield的数据显示,黑客在9月25日窃取了732个以太坊,随后将资金直接转移至已被制裁的加密货币混币器Tornado Cash。
事件披露与后续处理
虽然最初是GitHub用户发现了此次攻击的细节,但随后由去中心化交易所(DEX)聚合器1Inch Network公开了这一消息。1Inch Network建议用户"立即将所有资产转移到不同的钱包",并发布博客解释了该漏洞的可能工作原理。
在攻击事件发生后,Profanity的开发团队已采取措施确保不再有人继续使用该工具。开发者将代码置于不可编译状态,并归档了代码库,该代码将不再接收任何更新。
与Wintermute攻击事件的关联
Wintermute首席执行官Evgeny Gaevoy最近在Twitter上承认,该公司遭受的大规模攻击"很可能与我们的DeFi交易钱包中存在Profanity类型的漏洞有关"。Gaevoy表示,这家提供算法做市服务的公司使用"Profanity和一个内部工具来生成前面带多个零的地址",但强调"这样做的原因是为了优化gas费用,而不是为了虚荣"。
事件影响与后续发展
截至目前,尚未有任何嫌疑人站出来对Wintermute攻击事件或最近的事件负责,也没有资金被追回。该做市商威胁要采取法律行动,并为追回资金提供了1600万美元的赏金。
昨天的漏洞利用事件和Wintermute的事件可能只是冰山一角。在1Inch的博客文章中,他们表示可能还有更多漏洞尚未被发现,并补充说"1inch的贡献者仍在努力确定所有被黑的自定义地址",而且"看起来可能有数千万美元的加密货币被盗,如果不是数亿美元的话"。