Una nuova funzionalità di Ethereum è stata sfruttata poche settimane dopo il lancio in un furto phishing da 146.000 dollari

Un portafoglio Ethereum aggiornato agli smart account EIP-7702 ha perso 146.551 $ in vari memecoin a causa di truffatori di phishing. L'azienda di sicurezza blockchain Scam Sniffer ha segnalato l'incidente, notando che i fondi sono stati rubati tramite transazioni batch malevole.

Secondo l'azienda, la vittima 0xc6d289d ha firmato le transazioni batched malevole, permettendo agli attaccanti di drenare i fondi. Gli scammer hanno usato 0xC83De81A e 0x33dAD2b per eseguire l'attacco.

Dopo l'incidente, l'esperto di cybersecurity Yu Xian ha notato che l'exploit di phishing era molto creativo e ha identificato il popolare gruppo di phishing Inferno Drainer dietro l'incidente. Il gruppo aveva pubblicamente affermato di aver chiuso, ma un recente rapporto di Check Point Research mostra che il suo malware è ancora ampiamente utilizzato ed è stato usato per rubare oltre $9 milioni in asset crypto negli ultimi sei mesi.

Xian, fondatore dell'azienda di sicurezza blockchain Slow Mist, ha notato che i truffatori non hanno cambiato l'indirizzo dell'account esterno (EOA) con uno di phishing. Hanno invece utilizzato un meccanismo nel delegator Metamask EIP-7702 per completare il phishing di autorizzazione batch e rubare i token.

Ha dichiarato:

“Con ‘un po' creativo’ intendo che questa volta l'indirizzo EOA dell'utente non è stato sostituito con l'indirizzo del contratto 7702 tramite phishing. In altre parole, l'indirizzo delegato non è un indirizzo di phishing, ma il MetaMask esistente pochi giorni fa: EIP-7702 Delegator Ox63c0c19a2.”

Questo rende l'incidente ancora più complesso dei precedenti tentativi di sfruttare la funzionalità EIP-7702. Attraverso il meccanismo, gli attaccanti potevano selezionare i token da rubare dall'indirizzo della vittima. Xian ha aggiunto che questo dimostra come le gang di phishing continuino a trovare nuovi e creativi modi per rubare i fondi degli utenti. Pertanto, gli utenti di criptovalute devono fare attenzione per non perdere i propri asset.

Per quanto riguarda come gli attaccanti siano riusciti a compromettere il wallet dell'utente, ha spiegato che la vittima probabilmente ha visitato un sito web di phishing e ha accidentalmente approvato l'operazione senza prestare attenzione.

Truffatori di phishing che sfruttano l'EIP-7702

L'incidente solleva ulteriori interrogativi sulla sicurezza della funzionalità di astrazione degli account EIP-7702, introdotta con l'aggiornamento Pectra alcune settimane fa. Dalla sua introduzione, molte persone l'hanno adottata; i dati di Dune Analytics di Wintermute Research mostrano oltre 48.000 deleghe.

La funzionalità consente agli utenti di Ethereum di abilitare temporaneamente le capacità degli smart contract wallet per i loro account esterni (EOA) delegando il controllo a un indirizzo il cui codice desiderano eseguire.

In genere, gli EOA sono account Ethereum di base privi di funzionalità come il patrocinio del gas, l'autenticazione alternativa e il batch delle transazioni. Con queste funzionalità, gli utenti ottengono un'esperienza migliorata dallo stesso account di base.

Tuttavia, ciò che era destinato a migliorare l'esperienza utente ora espone gli utenti a nuovi rischi. Un numero considerevole dei delegatori 7702 autorizzati sono contratti malevoli che rubano i fondi degli utenti; i dati di Dune Analytics classificano il 36,3% dei 175 contratti delegati come criminosi.

Secondo la sicurezza di GoPlus, i fondi inviati a qualsiasi EOA interessato vengono automaticamente reindirizzati all'indirizzo dello scammer. Questo permette agli attaccanti di phishing di rubare i fondi destinati agli indirizzi infetti.

Utenti esortati a proteggersi dalle truffe di phishing

Nel frattempo, l'emergere di nuovi vettori di minaccia ha portato gli esperti a invitare gli utenti di criptovalute a essere più vigili. Xian ha sottolineato che gli utenti devono verificare eventuali autorizzazioni anomale dei token e assicurarsi che non siano stati delegati a un indirizzo di phishing.

Ha consigliato di verificare questo aspetto visualizzando i propri record di autorizzazione tramite il block explorer e di annullare tale autorizzazione passando a un wallet che supporta l'EIP-7702.

Il principale wallet Ethereum, MetaMask, ha anche avvisato gli utenti di non fare clic su alcun link esterno o email che richiede di aggiornare i loro wallet a smart contract accounts. Un popup nel wallet affermava che qualsiasi richiesta di passaggio a un smart account sarebbe avvenuta all'interno del wallet.

L'azienda di sicurezza Web3 GoPlus ha inoltre evidenziato misure di sicurezza cruciali, tra cui la verifica degli indirizzi di autorizzazione, la verifica del codice sorgente del contratto e la cautela nei confronti dei contratti non open source.