Chainalysis découvre 82K portefeuilles liés à une arnaque par empoisonnement d'adresses

L'empoisonnement d'adresses est une arnaque apparemment simple, mais qui peut tout de même toucher même les utilisateurs crypto expérimentés. Chainalysis a découvert jusqu'à 82 000 portefeuilles liés à une campagne ciblant les utilisateurs disposant de soldes élevés. 

L'empoisonnement d'adresses reste l'une des attaques les plus courantes, yet efficaces. Les blockchains publiques révèlent des portefeuilles aux soldes attractifs, et des bots les ciblent, espérant combiner des attaques technologiques avec une erreur humaine. Les adresses empoisonnées ont été créées sur une courte période, mais les pertes personnelles se produisent à plusieurs reprises dès que la victime redevient active sur la chaîne. Au cours des dernières 24 heures, une perte de 57 000 $ a été enregistrée suite à la copie d'une adresse empoisonnée depuis l'historique des transactions. 

🚨💔 Il y a 42 minutes, une victime a perdu 57 000 $ en copiant la mauvaise adresse depuis un historique de transactions contaminé.

Note : Ne copiez jamais d'adresses depuis l'historique des transactions. 🚫📋 pic.twitter.com/ypjn8iMOcO

— NODE GUARD SOLUTION. (@NodeGuard_Pro) 23 octobre 2024

Chainalysis a identifié 82 000 portefeuilles liés à des tentatives d'empoisonnement par publication de faux tokens à valeur nulle. L'arnaque par empoisonnement d'adresse ressemble également à l'attaque par token à valeur nulle, mais avec la génération supplémentaire d'une adresse trompeuse. Les outils pour les attaques par adresses empoisonnées sont également distribués sur les marchés du darknet. 

L'attaque repose sur le fait que les utilisateurs ne vérifient pas suffisamment leurs adresses, en émettant des chiffres similaires au début et à la fin de l'adresse. Cette attaque exploite l'habitude des utilisateurs de crypto-monnaies de ne vérifier que les quatre premiers et les quatre derniers chiffres d'une adresse.

Certaines des fausses transactions ou tokens à valeur nulle les plus courants impliquent USDT, TRX ou MATIC, ou une version falsifiée du token. Une partie des transactions copie également le montant précédemment utilisé, créant ainsi une entrée de portefeuille de apparence similaire. D'autres envoient entièrement de nouveaux tokens en tant airdrop. Le portefeuille lui-même n'est pas piraté dans ce type d'attaque, et il n'y a aucun risque pour les fonds lors de la réception de transactions de semence.

Les arnaques par adresses empoisonnées peuvent cibler même de petits soldes, mais ce type d'attaque est à l'origine de l'une des plus grandes pertes de 2024. Des adresses empoisonnées ont réussi à vider 68 M$ de BTC enveloppé (WBTC) provenant d'un seul portefeuille. 

Dans ce cas, l'exploitant a restitué les fonds plus tard, après avoir gagné 3 millions de dollars grâce à l'appréciation du BTC à cette époque. La victime a contacté l'exploitant via des micro-transactions Ethereum avec des messages joints, ce qui a conduit à un remboursement intégral trois jours plus tard. 

Les adresses empoisonnées continuent de se propager sur Ethereum

Le vol à grande échelle a permis à Chainalysis de découvrir davantage d'adresses empoisonnées. Au total, huit portefeuilles étaient responsables du lancement des fausses adresses lors d'un événement concentré de type campagne. 

Chainalysis a découvert un total de 82 031 adresses falsifiées, qui ressemblent à des contreparties légitimes. Les nouvelles adresses empoisonnées représentaient près de 1 % de tous les nouveaux portefeuilles Ethereum créés sur une période similaire. 

Le réseau d'adresses empoisonnées a réussi à arnaquer des utilisateurs plus expérimentés disposant d'un solde de portefeuille plus élevé. Au total, 2 774 portefeuilles ont envoyé des fonds vers les adresses falsifiées, détournant ainsi un montant total de 69,72 millions de dollars. Ces portefeuilles contenaient jusqu'à 338 000 dollars, bien que la plupart ne détenaient que des sommes plus modestes de 1 000 dollars. Il était également courant que les victimes soient des traders actifs et des utilisateurs d'Ethereum. 

Le vaste réseau d'adresses empoisonnées a connu un succès relativement limité. Sur les portefeuilles ciblés, 756 ont décelé l'arnaque grâce à une transaction test ou à un montant inférieur à 100 dollars. Les transactions simulaient parfois même les propres portefeuilles de la victime. Dans ce cas, la possession d'une adresse ENS lisible par un humain pourrait atténuer le risque.

Des campagnes similaires ont eu lieu sur Binance Smart Chain, et l'équipe de Binance est désormais en train de signaler transactions à valeur nulle et adresses falsifiées. Les rapports Des adresses empoisonnées de Toncoin (TON) ont également fait surface, avec des transactions de 0 TON comme appât.

Les escrocs blanchissent les fonds via la DeFi et les plateformes d'échange

Bien que le plus gros butin de 68 M$ n'ait pas été blanchi efficacement, des sommes plus modestes peuvent être dissimulées et liquidées. Les escrocs ont utilisé des protocoles DeFi, puis des échanges centralisés pour effacer leurs traces et échanger les fonds initiaux. 

Certaines des plateformes d'échange impliquées dans l'arnaque étaient des marchés sans KYC en Europe de l'Est, bénéficiant de réglementations moins strictes sur l'origine des fonds. Les transferts vers un échange constituaient la dernière étape du parcours, après avoir mélangé les fonds via des protocoles DeFi et des marchés décentralisés.

Les campagnes d'inoculation de portefeuilles sont généralement courtes, mais peuvent générer des profits disproportionnés. Les explorateurs de blocs ont commencé à signaler les fausses transactions, permettant aux utilisateurs de vérifier leur historique avant d'envoyer des fonds.