• 發布單位:TWCERT/CC
• 更新日期:2023-11-24
• 點閱次數:114

資安廠商 Scam Sniffer 近期發現有駭侵者濫用以太坊的「Create2」功能，成功略過加密錢包的資安功能並入侵加密貨幣位址，在六個月內竊得高達 6,000 萬美元加密資金，受害者近 10 萬人。

Scam Sniffer 近來發現多起利用相同手法的加密資產竊案，都是利用以太坊提供的「Create2」功能來加以濫用。該功能是於以太坊的「Constantinople」改版時推出，可在區塊鏈上新增智慧合約。這個功能非常強大，可以在布署智慧合約前用來計算錢包位址，讓區塊鏈開發者可用以設計出複雜的智慧合約功能，且可以進行鏈下交易之用。

Scam Sniffer 指出，駭侵者利用 Create2 功能憑空創造出全新的智約合約位址，因其不含任何過往的惡意交易記錄，因此當駭侵者將竊取的資金轉入這些全新的錢包位址時，就不易觸發危險位址交易警示。

最近的一次竊取記錄顯示，某位受害者不慎簽署了駭侵者提供的惡意智慧合約，其相當於 927,000 美元的 GMX 代幣就遭到駭侵者轉入這類預先計算的合約位址內，因而遭到竊取。

也有駭侵者利用 Create2 功能，製作出和受害者個人擁有的位址相當接近的錢包位址，用來混淆受害者視聽，讓受害者以為轉帳目標位址是自己所擁有的錢包，從而竊取資金。

Scam Sniffer 指出，自 2023 年 8 月起，已記錄到 11 起駭侵者利用位址混淆手法進行的加密貨幣詐騙，共計損失 300 萬美元；最大的一筆竊案，損失金額高達 160 萬美元。

建議加密貨幣持有者在進行轉帳時，務必仔細檢查並確認轉帳目標的錢包位址是否完全正確，否則資金一旦轉出就無法逆轉，恐將蒙受重大損失。