- ZachXBT отследил опустошение кошельков в сетях EVM, при этом потери на каждом адресе остаются небольшими.
- Один Ethereum-адрес продолжает получать средства, что сигнализирует об активности между сетями.
- Аналитики изучают разрешения, подписи и расширения, однако способ эксплуатации остается неизвестным.
Блокчейн-исследователь ZachXBT предупредил криптосообщество об необъяснимой активности, связанной с опустошением кошельков на нескольких совместимых с EVM блокчейнах. Данная активность уже привела к потерям более чем на $107 000. Отдельные кошельки обычно теряют менее $2000. Тем не менее, число пострадавших адресов продолжает расти. Источник утечек средств остается неустановленным.
Отслеживание на блокчейне связало украденные средства с одним Ethereum-адресом, который неоднократно получает переводы от несвязанных жертв. Адрес 0xAc2e5153170278e24667a580baEa056ad8Bf9bFB появлялся во множестве транзакций, связанных с этой активностью. Средства продолжают поступать на этот адрес, что указывает на то, что опустошение не прекращается.
Вместо крупных единичных краж эта деятельность опирается на небольшие выводы средств с множества кошельков. Такая схема, по-видимому, откладывает обнаружение инцидентов. В результате потери накапливаются незаметно, пока жертвы не замечают снижения баланса.
Кросс-чейн паттерн привлекает внимание
Сообщается, что эта активность охватывает несколько сетей на базе EVM. По данным BitPinas, пострадавшие кошельки зафиксированы в Ethereum, BNB Chain, Base, Arbitrum, Polygon, Optimism и других экосистемах EVM. Масштаб вовлечённых сетей вызвал вопросы о возможной общей точке сбоя.
Поскольку сети EVM используют схожие стандарты кошельков и процессы подписи, исследователи подозревают, что эксплойт не нацелен на какой-то один протокол. Вместо этого он может быть связан с общей логикой кошельков или обработкой разрешений. Многие кошельки используют похожие процессы подтверждения и пользовательские всплывающие окна.
Несмотря на нарастающий объём данных, подтверждённая причина пока не выявлена. Аналитики продолжают изучать злоупотребления разрешениями токенов, обманные запросы подписи и возможные проблемы цепочки поставок, влияющие на программное обеспечение кошельков. Некоторые исследования также фокусируются на браузерных расширениях. Ни одна из этих теорий пока не подтверждена.
Связано: ZachXBT раскрывает скрытого сооснователя BlockDAG и пропавшие миллионы
Эксплойты декабря дают более широкий контекст
Опустошения кошельков происходят на фоне месяца, отмеченного несколькими крупными инцидентами безопасности в криптоиндустрии. PeckShield сообщила о 26 значительных эксплойтах в декабре. Небольшое количество случаев составило основную часть потерь. Наибольший из них затронул одного пользователя, который потерял $50 млн из-за атаки с подменой адреса.
В атаках с подменой адреса злоумышленники отправляют небольшие переводы с адресов, визуально схожих с легитимными. Позже жертвы копируют неверный адрес из истории транзакций при переводе средств. В результате средства безвозвратно переходят к злоумышленнику. Такие схемы основаны на визуальной схожести, а не на технических уязвимостях.
PeckShield также зафиксировала ещё один инцидент в декабре, связанный с утечкой приватного ключа мультиподписного кошелька. Эта утечка привела к потерям около $27,3 млн. Случай показал, что даже кошельки, требующие нескольких одобрений, остаются уязвимыми при нарушении безопасности ключей.
Браузерные кошельки остаются уязвимыми
Браузерные кошельки всегда становятся основными целями атакующих, в первую очередь потому, что они постоянно подключены к Интернету. PeckShield была названа среди инцидентов на Рождество, в ходе которого из браузерного расширения Trust Wallet было выведено примерно $7 млн. Другой инцидент в декабре был нацелен на протокол Flow, с потерями около $3,9 млн.
Эти случаи ясно указывают на сохраняющиеся риски в онлайн-кошельках. Большинство исследователей в области безопасности считают аппаратные кошельки, которые хранят приватные ключи офлайн, самым безопасным вариантом для долгосрочного хранения активов.
Что касается текущего опустошения EVM-кошельков, команды безопасности советуют пользователям отзывать неиспользуемые разрешения, проверять подключённые приложения и сокращать количество операций с подписями. Многие также рекомендуют переводить активы на новые кошельки с новыми seed-фразами, пока продолжается мониторинг ситуации.
