Co-fundador da F2Pool relata perda de 490 Bitcoins para ‘hacker generoso’

Wang Chun, co-fundador da grande pool de mineração de Bitcoin F2Pool, compartilhou recentemente uma anedota pessoal do ano passado enquanto compartilhava sua opinião sobre um incidente separado de phishing que custou a outra pessoa 50 milhões de USDT. 

Ao contrário de Wang Chun, a vítima está trabalhando com as autoridades para encontrar o hacker, mas também deu à pessoa uma saída para ambos.

Wang Chun perde Bitcoin para hacker ‘generoso’ 

De acordo com Wang Chun’s post, o incidente que ele descreveu em seu post ocorreu algum tempo no ano passado, e difere das fraudes comuns em que o cofundador da F2Pool já suspeitava que algo estava errado com aquela carteira. 

Em seu post, ele lembrou de estar desconfiado de que uma das chaves privadas de sua carteira havia sido comprometida. Para determinar se a carteira estava sendo monitorada ativamente pelo hacker, Wang Chun afirma que enviou deliberadamente 500 BTC. 

Por que ele enviou uma quantia tão grande está além de qualquer um, mas poderia ser que ele precisava de uma isca grande o suficiente para provocar uma resposta do hacker monitorando a carteira. Bem, ele conseguiu o que estava procurando porque imediatamente os fundos atingiram a carteira, o hacker ficou ocupado. 

No entanto, de acordo com Wang Chun, este hacker não era completamente ganancioso e drenou apenas 490 Bitcoins, deixando 10 para trás, o que fez Wang marcar ironicamente o atacante como “generoso”. Ele brincou que poderiam ter drenado toda a conta, mas escolheram deixar o suficiente para seu “pão e manteiga.”

O post de Wang deixa claro que isso não foi uma exploração tradicional ou perda acidental; foi ele sondando intencionalmente para eliminar dúvidas. E ele estava certo. Embora tenha custado a ele 490 Bitcoins. 

Wang compartilhou o endereço do hacker, “14H12PpQNzrS1y1ipjF4mPuVgQEpgfGA79,” para referência, mas não disse nada sobre rastrear o hacker ou tentar recuperar os fundos roubados. 

Na seção de comentários, os usuários comentaram com confusão e ceticismo. Eles queriam saber por que ele tinha que testar sua suspeita com uma quantia tão grande. Alguns até implicaram que ele estava apenas tentando parecer tranquilo e que na verdade enviou o BTC sem saber que a carteira estava comprometida. 

Outros zombaram dele por afirmar que precisava de 10 BTC para “pão e manteiga.” 

Alguém perdeu $50 milhão para phishing?

Wang Chun compartilhou a história de seu tormento no ano passado em resposta a posts sobre um incidente de phishing que ocorreu em 20 de dezembro, onde Cryptopolitan reportou que a vítima perdeu até 50 milhão de USDT. 

O co-fundador da F2Pool chamou o evento de lamentável, pois esperava que o usuário recuperasse seus fundos. Os fundos foram perdidos após o usuário afetado enviar por engano quase $50 milhões em USDT para um endereço de golpista, o que foi marcado como um ataque clássico de envenenamento de endereço.

De acordo com o investigador on-chain Web3 Antivirus, a vítima perdeu 49.999.950 USDT após copiar um endereço de carteira malicioso de seu histórico de transações. O usuário estava na verdade cauteloso, de acordo com os dados on-chain, pois inicialmente enviou uma pequena transação de teste de $50 para o endereço correto. 

No entanto, o golpista imediatamente spoofou uma carteira com os mesmos primeiros e últimos quatro caracteres, então realizou um ataque de envenenamento de endereço. Isso funcionou porque muitas carteiras escondem a parte do meio do endereço com “…” para fazer a interface do usuário parecer melhor.

A maioria dos usuários de CT está acostumada com isso, e muitos costumam copiar o endereço dos históricos de transação, verificando apenas as primeiras e as últimas letras. A vítima não foi diferente. 

Ao transferir os 49.999.950 $USDT restantes, a vítima copiou o endereço falso do seu histórico de transações, verificou as letras iniciais e finais e, minutos depois, enviou a transferência total de $50 milhões para o endereço contaminado. 

O pesquisador de segurança Cos, fundador da SlowMist, confirmou que havia de fato uma similaridade entre os endereços e, embora sutil, foi suficiente para enganar até usuários experientes. “Você pode ver que os primeiros 3 caracteres e os últimos 4 caracteres são os mesmos”, escreveu ele.

O atacante já trocou os USDT roubados por Ether, dividindo-os em várias carteiras e transferindo parcialmente para a Tornado Cash. No entanto, o usuário afetado, ao contrário de Wang Chun, não está deixando o dinheiro ir e tem trabalhado com as autoridades para rastrear o hacker. 

O usuário deixou enviados uma mensagem on-chain para o hacker, revelando que abriu um caso criminal e, com a ajuda das autoridades e de outras agências, reuniu informações sobre as atividades do hacker. 

De acordo com a mensagem, o hacker tem uma última chance de se afastar deste incidente sem consequências legais. O hacker é obrigado a devolver 98% dos fundos roubados dentro de 48 horas e foi aconselhado a reter $1.000.000 para identificar a vulnerabilidade. A oferta depende da cooperação imediata. 

Em caso de descumprimento, o usuário promete escalar as investigações e revelar a identidade do hacker, perseguindo ações civis e criminais até que a justiça seja plenamente servida. 

A Ethereum Community Foundation se pronuncia

Não é a primeira vez que esse tipo de golpe de envenenamento de endereço ocorre, mas, de acordo com a Ethereum Community Foundation, deve ser a última. Para esse fim, a ECF propôs declarou um “fim à prática de truncar endereços com pontos.”

De acordo com a fundação, todas as telas agora podem exibir endereços completos, portanto, ocultar os caracteres do meio apenas serve para criar um risco evitável. 

“Carteiras e exploradores de blocos continuam lançando opções de UI que minam ativamente a segurança do usuário”, escreveu a fundação no X. “Isso é solucionável.”