Новая функция Ethereum использована всего через несколько недель после запуска в ходе фишинговой кражи на $146K

Кошелек Ethereum, обновленный до смарт-аккаунтов EIP-7702, потерял $146 551 в различных мемкоинах из-за фишинговых мошенников. Компания по безопасности блокчейна Scam Sniffer сообщила об инциденте, отметив, что средства были украдены через вредоносные пакетные транзакции.

Согласно данным компании , жертва 0xc6d289d подписала вредоносные пакетные транзакции, что позволило злоумышленникам вывести средства. Мошенники использовали адреса 0xC83De81A и 0x33dAD2b для совершения атаки.

После инцидента эксперт по кибербезопасности Юй Сянь отметил, что фишинговая уязвимость была очень креативной, и идентифицировал популярную фишинговую группу Inferno Drainer, стоящую за инцидентом. Группа публично заявляла о своем закрытии, но недавний отчет Check Point Research показывает, что ее вредоносное ПО все еще активно используется и за последние шесть месяцев позволило украсть более $9 млн криптоактивов.

Сянь, основатель фирмы по безопасности блокчейна Slow Mist, отметил, что мошенники не меняли адрес внешнего аккаунта (EOA) на фишинговый. Вместо этого они использовали механизм делегатора Metamask EIP-7702 для завершения фишинга с пакетной авторизацией и кражи токенов.

Он сказал:

«То, что я имею в виду под „немного креативно“, заключается в том, что на этот раз адрес EOA пользователя не был заменен на адрес контракта 7702 через фишинг. Другими словами, делегированный адрес не является фишинговым адресом, а представляет собой MetaMask, который существовал несколько дней назад: EIP-7702 Delegator Ox63c0c19a2».

Это делает инцидент еще более сложным, чем предыдущие попытки эксплуатации функции EIP-7702. Благодаря этому механизму злоумышленники могли выбирать токены для кражи с адреса жертвы. Сянь добавил, что это показывает, как фишинговые группировки продолжают находить новые и креативные способы кражи средств пользователей. Таким образом, пользователям криптовалют необходимо быть осторожными, чтобы не потерять свои активы.

Что касается того, как злоумышленникам удалось скомпрометировать кошелек пользователя, он объяснил, что жертва, вероятно, посетила фишинговый сайт и случайно одобрила операцию, не обратив на это внимания.

Фишинговые мошенники эксплуатируют EIP-7702

Этот инцидент вызывает еще больше вопросов о безопасности функции абстракции аккаунтов EIP-7702, которая была представлена с обновлением Pectra несколько недель назад. С момента внедрения многие люди начали ее использовать, и данные Dune Analytics от Wintermute Research показывают более 48 000 делегирований.

Эта функция позволяет пользователям Ethereum временно включать возможности смарт-контрактных кошельков для их внешних аккаунтов (EOA), делегируя контроль адресу, код которого они хотят выполнить.

Как правило, EOA — это базовые аккаунты Ethereum без таких функций, как спонсорство газа, альтернативная аутентификация и пакетная обработка транзакций. Благодаря этим функциям пользователи получают улучшенный опыт работы с тем же базовым аккаунтом.

Однако то, что должно было улучшить пользовательский опыт, теперь подвергает пользователей новым рискам. Значительная часть авторизованных делегаторов 7702 — это вредоносные контракты, крадущие средства пользователей; данные Dune Analytics классифицируют 36,3% из 175 контрактов делегатов как преступные.

Согласно данным безопасности GoPlus, средства, отправленные на любой затронутый внешний аккаунт (EOA), автоматически перенаправляются на адрес мошенника. Это позволяет фишинговым злоумышленникам красть средства, предназначенные для зараженных адресов.

Пользователям рекомендуется защищаться от фишинговых атак

Тем временем появление новых векторов угроз заставило экспертов призвать пользователей криптовалют быть более бдительными. Сянь отметил, что пользователям необходимо проверять наличие любых необычных авторизаций токенов и убедиться, что они не были делегированы фишинговому адресу.

Он посоветовал, что они могут проверить это, просмотрев свои записи об авторизации через блокчейн-браузер и отменив такую авторизацию, переключившись на кошелек, поддерживающий EIP-7702.

Ведущий кошелек Ethereum, MetaMask, также предостерег пользователей от нажатия на любые внешние ссылки или электронные письма, требующие обновления их кошельков до смарт-контрактных аккаунтов. Во всплывающем окне кошелька было указано, что любой запрос на переключение на смарт-аккаунт будет происходить внутри самого кошелька.

Фирма по безопасности Web3 GoPlus также выделила важные меры безопасности, включая проверку адресов авторизации, проверку исходного кода контракта и осторожность при работе с контрактами с закрытым исходным кодом.