Un fondatore di criptovalute ha evitato un tentativo di truffa di ingegneria sociale "estremamente completo" che avrebbe potuto costargli più di $ 125 milioni di Ethereum (ETH). Il tentativo mostra che gli hacker stanno diventando più sofisticati e "super intelligenti".
L'ingegneria sociale è un metodo utilizzato dai criminali informatici per ottenere la fiducia di qualcuno, spesso tramite manipolazione, al fine di rubare informazioni sensibili o indurli a compiere azioni che "altrimenti non farebbero". Heather Morgan potrebbe aver rubato $ 4,5 miliardi da Bitfinex in questo modo.
Thomasg.eth è il fondatore pseudonimo di Arrow, un DAO in fase iniziale che lavora per costruire un sistema di trasporto aereo decentralizzato. Domenica ha spiegato in dettaglio come è stato quasi socialmente indotto a rinunciare a tutti i suoi ETH.
Il fondatore ha parlato del grande sforzo impiegato dai truffatori nel tentativo di rubare i suoi soldi, inclusa la produzione di lavoro per il suo progetto e il coinvolgimento in discussioni con più persone per un periodo di due settimane.
La truffa è fallita solo perché Thomasg.eth ha deciso di utilizzare un nuovo indirizzo Ethereum e non il suo indirizzo principale quando ha eseguito un favore che coinvolge token non fungibili (NFT) per gli hacker. Scrivendo su Twitter, il fondatore di Arrow ha dichiarato:
Nelle ultime due settimane, sono stato preso di mira da una truffa di ingegneria sociale estremamente approfondita che mi è quasi costata tutti i miei ETH. Sono super fortunato ad essere sopravvissuto illeso.
Ingegneria sociale: i truffatori si offrono volontari presso Arrow per ottenere fiducia
Thomas.eth ha detto che un utente di nome Heckshine lo ha contattato su Discord e si è offerto di aiutarlo "con la progettazione e l'animazione 3D" gratuitamente. Ha obbligato e gli consegna alcuni compiti. Il lavoro di Heckshine è prolifico e Thomasg è "impressionato" dalla dedizione del designer al progetto.
Fiducia guadagnata, Heckshine ha presto messo in contatto il fondatore di Arrow DAO con una connessione industriale "realizzata", Linh, che avvia la truffa. Thomasg.eth accetta di assumere Linh come consulente.
In seguito ha convinto Thomasg a provare il servizio di staking di un progetto NFT che stava guidando: Space Falcon, un popolare progetto di gioco su Solana, ma il cui nome di dominio Linh ha corrotto a scopo di frode. Linh invia un NFT al suo indirizzo ethereum. Spiegando, Thomasg ha detto:
“Ora qui è dove sono stato incredibilmente fortunato. Dato che si tratta di un nuovo progetto, ho deciso di spostare l'NFT in un nuovo indirizzo ETH prima di passare attraverso il processo di staking, nel caso in cui venissero sfruttati lungo la strada o qualcosa del genere. La posta in gioco è andata a buon fine e ci sto guadagnando un rendimento".
Ma Linh lo spinge a puntare un altro NFT, questa volta dal suo conto principale . Fu allora che "finalmente si rese conto che stava succedendo qualcosa di impreciso".
"Così ho richiamato Etherscan per il nuovo indirizzo in cui ho puntato il primo NFT e il mio sangue diventa gelido", dice Thomasg. “L'aWETH che ho approvato non era Armstrong ETH [di Space Falcon], ma piuttosto aWETH di Aave. Al mio indirizzo principale, quasi tutto il mio ETH si trova ad Aave.
Contratti intelligenti fasulli
Thomasg.eth ha indagato ulteriormente sul contratto e ha scoperto che lo smart contract includeva un comando in cui tutto l'aWETH avrebbe potuto essere prosciugato in qualsiasi momento dagli hacker.
Mentre la prima puntata attiva avrebbe potuto comportare il furto delle sole ricompense di puntata, un attacco al suo indirizzo principale, che all'epoca conteneva circa 125 milioni di dollari in aWETH, avrebbe completamente svuotato il conto.
È probabile che i criminali siano stati attratti dall'equilibrio grasso nell'indirizzo di Thomasg, che utilizza l'Ethereum Name Service (ENS). Il servizio consente agli utenti di sfruttare i nomi come indirizzi invece dei caratteri alfanumerici che costituiscono un normale indirizzo ETH. Gli hacker lo avrebbero studiato molto bene prima di iniziare il coinvolgimento.
Thomasg.eth ha ammesso:
“Forse il mio più grande errore in tutto questo è stato tenere tutti i miei fondi nello stesso portafoglio del mio ENS. La sicurezza attraverso l'oscurità mi avrebbe impedito di diventare un bersaglio in primo luogo".
Da allora i truffatori hanno cancellato la loro impronta su Discord, ma Thomasg ora crede di aver assunto un grafico per fare il lavoro di Heckshine mentre il duo si concentrava sul derubarlo .
"Avevano anche creato contratti personalizzati e front-end completamente specifici per questa truffa", ha affermato. "Questi ragazzi erano incredibilmente ben finanziati e super intelligenti."
Il post Crypto Founder ha preso di mira un tentativo di truffa di ingegneria sociale da $ 125 milioni è apparso per la prima volta su BeInCrypto .