Ошибка в MetaMask лишила пользователей более $10 млн

Пользователи некастодиального криптокошелька MetaMask потеряли более $10,5 млн из-за загадочного эксплойта. 

For the past 48hrs I’ve been unwinding a massive wallet draining operation 😳😭

I don’t know how big it is but since Dec 2022 it’s drained 5000+ ETH and ??? in tokens / NFTs / coins across 11+ chains.

Its rekt my friends & OGs who are reasonably secure.

No one knows how. pic.twitter.com/MafntG7RkP

— Tay 🦊 💖 (@tayvano_) April 18, 2023

Разработчица MetaMask Тейлор Монахан сообщила, что с февраля 2022 года благодаря ошибке преступник выводил более 5000 ETH и загадочное колличество токенов из 11 разных блокчейнов. 

По словам Монахан, никто из сборной не знает, как работает эксплойт, поэтому нельзя определить чёткий взнос ущерба.

Согласно расследованию, преступник нацелен на адреса, которые созданы в период с 2014 по 2022 год. 

Как правило, спустя несколько часов после ..первого взлома, хакер возвращается, чтобы выводить оставшиеся активы, параллельно обменивая токены на Ethereum. Примерно через неделю экспроприатор конвертирует украденные средства в биткоин и посылает монеты в криптомиксер.

Монахан также предупредила, что эксплойт не непохож на обыденный фишинг или мошенничество. Он скорее формирован на «криптоветеранов», которые ,имеют эксперимент защиты своих электронных активов.

My best guess rn is that someone has got themselves a fatty cache of data from 1+ yr ago & is methodically draining the keys as they parse them from the treasure trove.

But that’s just a guess. I *don’t* know.

It is NOT cryptographic/entropy related tho, don’t waste your time.

— Tay 🦊 💖 (@tayvano_) April 18, 2023

«Мое наиболее правдоподобное предположение сводится в том, что кто-то исходатайствовал жирный медкурс данных более года назад и продолжил методично извлекать ключи, когда пользователи просматривают их в своем кошельке. […] Это не сплетено с криптографией или энтропией, не тратьте свое время», — пометила Монахан.

В задачах безопасности разработчица посоветовала подрядчикам поделить средства по различным адрессам и приобрести аппаратный кошелек. 

В апреле команда MetaMask предупредила о фишинговых атаках с подложных адрессов компании. 

В ноябре разработчики кошелька исправили ошибку приватности, которая зарождалась при при сотрудничестве с децентрализованными приложениями.

Подписывайтесь на наш канал в: Telegram, Vk, Twitter.