按 Enter 到主內容區
:::

TWCERT-電子報

:::

駭侵者濫用以太坊功能,竊得 6,000 萬美元加密資金

發布日期:
字型大小:
  • 發布單位:TWCERT/CC
  • 更新日期:2023-11-24
  • 點閱次數:149
駭侵者濫用以太坊功能,竊得 6,000 萬美元加密資金

資安廠商 Scam Sniffer 近期發現有駭侵者濫用以太坊的「Create2」功能,成功略過加密錢包的資安功能並入侵加密貨幣位址,在六個月內竊得高達 6,000 萬美元加密資金,受害者近 10 萬人。

Scam Sniffer 近來發現多起利用相同手法的加密資產竊案,都是利用以太坊提供的「Create2」功能來加以濫用。該功能是於以太坊的「Constantinople」改版時推出,可在區塊鏈上新增智慧合約。這個功能非常強大,可以在布署智慧合約前用來計算錢包位址,讓區塊鏈開發者可用以設計出複雜的智慧合約功能,且可以進行鏈下交易之用。

Scam Sniffer 指出,駭侵者利用 Create2 功能憑空創造出全新的智約合約位址,因其不含任何過往的惡意交易記錄,因此當駭侵者將竊取的資金轉入這些全新的錢包位址時,就不易觸發危險位址交易警示。

最近的一次竊取記錄顯示,某位受害者不慎簽署了駭侵者提供的惡意智慧合約,其相當於 927,000 美元的 GMX 代幣就遭到駭侵者轉入這類預先計算的合約位址內,因而遭到竊取。

也有駭侵者利用 Create2 功能,製作出和受害者個人擁有的位址相當接近的錢包位址,用來混淆受害者視聽,讓受害者以為轉帳目標位址是自己所擁有的錢包,從而竊取資金。

Scam Sniffer 指出,自 2023 年 8 月起,已記錄到 11 起駭侵者利用位址混淆手法進行的加密貨幣詐騙,共計損失 300 萬美元;最大的一筆竊案,損失金額高達 160 萬美元。

建議加密貨幣持有者在進行轉帳時,務必仔細檢查並確認轉帳目標的錢包位址是否完全正確,否則資金一旦轉出就無法逆轉,恐將蒙受重大損失。

回頁首