160 亿美元的 Wintermute 黑客攻击成为 2022 年第五大 DeFi 漏洞利用

Wintermute 首席执行官 Evgeny Gaevoy 证实，价值数百万美元的 Wintermute 黑客攻击与 以太币 名为 Profanity 的虚荣地址生成工具。

加密资产算法做市商 Wintermute 于周二 击中 160亿美元 DEFI Gaevoy 说。 他补充说，超过 90 种不同价值的资产被盗。

黑客攻击在几天后出现 1inch 已标记 脏话生成的地址是高风险的。

Profanity 是一种让以太坊用户创建“虚地址”的工具——个性化 电子钱包把钱转出 包含人类可读消息的地址，这使传输更容易。

亵渎错误导致钱包泄露

此前， Binance 赵长鹏 CEO 发布 在 Twitter 上，Wintermute 漏洞利用看起来“与亵渎有关”，但没有解释如何。

“如果你过去使用过虚名地址，你可能希望将这些资金转移到另一个钱包中，”他警告说。

多边形首席信息 保安 Mudit Gupta 警官用证据证实了这些指控。

“我快速浏览了一下，我最好的猜测是，由于几周前公开披露的亵渎漏洞，这是一个热钱包妥协，”古普塔在一次 博客文章

“保险库只允许管理员进行这些转账，而 Wintermute 的热钱包正如预期的那样是管理员。 因此，合同按预期工作，但管理员地址本身可能受到损害，”他说，并补充说：

“管理员地址是一个虚荣地址（以一堆零开头），它可能是使用著名但有缺陷的虚荣地址生成工具 Profanity 生成的。”

加密安全公司 Certik 还解释了攻击是如何进行的。 “利用者使用带有私钥泄漏的特权函数来指定交换合约是攻击者控制的合约，”博客文章写道。

虚荣地址应该是不可能复制的，但黑客已经找到了一种方法来逆向计算这些代码，从而获得数百万美元。

Wintermute 首席执行官 Evgeny Gaevoy 后来证实，黑客攻击与亵渎有关。 叶夫根尼打破了这一事件。

“这次攻击很可能与我们的亵渎型攻击有关 DEFI 交易钱包。 我们确实使用 Profanity 和一个内部工具来生成前面有许多零的地址。 我们背后的原因是气体优化，而不是他在一篇文章中所说的“虚荣心” Twitter线程.

此后，DEX “转向了更安全的密钥生成脚本”。 “当我们上周了解到亵渎漏洞利用时，我们加快了'旧密钥'的退休，”Gaevoy 断言。

忽略警告？

几天前，DEX 聚合器 1inch Network 发出警告，称与 Profanity 相关的帐户不安全，因此 Wintermute 遭到黑客攻击。 该公司在流行的虚荣地址工具中发现了一个漏洞，该漏洞使数百万美元的用户资金面临风险。

“尽快将所有资产转移到不同的钱包，”1inch 警告 当时。 “如果您使用 Profanity 获取虚荣智能合约地址，请确保更改该智能合约的所有者。”

Profanity 背后的开发者，在 Github 上被称为“johguse”， 承认 该工具目前的形式非常危险。

“我强烈建议不要在当前状态下使用此工具。 该代码将不会收到任何更新，并且我已将其置于不可编译状态。 用别的东西！” johguse 在 Github 上写道。

Wintermute 攻击并不是第一次操纵代码窃取用户资金。 本月早些时候，黑客使用相同的方法从几个与亵渎相关的钱包地址窃取了超过 3.3 万美元的 ETH， 根据 到加密侦探 ZachXBT。

价值 160 亿美元的 Wintermute 漏洞使其成为 2022 年第五大 DeFi 黑客攻击。该漏洞利用落后于今年的几个关键漏洞，最引人注目的是今年 550 月价值 XNUMX 亿美元的 Ronin Bridge 黑客攻击。

对于 Be[In]Crypto 的最新消息 比特币  （BTC）分析， 点击此处.

免责声明

我们网站上包含的所有信息都是真诚发布的，仅供一般参考。 读者对我们网站上的信息采取的任何措施均完全自担风险。