Stora förluster kopplade till on-chain-bedrägerier
Nyligen inträffade en av de största förlusterna kopplade till on-chain-bedrägerier. En adressförgiftningattack, ett bedrägeri som utnyttjar hur kontobaserade blockkedjor hanterar transaktionshistorik och adressåteranvändning, ledde till att en enskild användare förlorade nästan 50 miljoner dollar i USDT.
Incidentens detaljer
Enligt Charles Hoskinson skulle detta inte ha inträffat på vissa arkitekturer som är inneboende mer motståndskraftiga mot sådana fel. Så här gick det till:
Offrets plånbok, som hade varit aktiv i ungefär två år och mestadels använts för USDT-transaktioner, innehöll nära 50 miljoner dollar. Användaren skickade en kort testtransaktion till den avsedda mottagaren, vilket många skulle betrakta som ett säkert beteende. Hela beloppet skickades några minuter senare, men den felaktiga adressen användes för den andra överföringen.
”Detta är ytterligare en anledning till att UTXO-modellen är fantastisk,” sa Hoskinson som svar på incidenten.
Hur attacken genomfördes
Tidigare hade bedragaren genomfört en adressförgiftningattack genom att skicka en liten mängd USDT från en plånbok som var utformad för att se ut som en riktig adress som offret tidigare hade använt. Offret valde av misstag den förgiftade adressen istället för den korrekta när de kopierade adressen från transaktionshistoriken. Som ett resultat förlorades 50 miljoner dollar med bara ett klick.
Skillnader mellan UTXO och kontobaserade modeller
Även om det troligen kommer att flyttas eller bytas, är den stulna USDT för närvarande fortfarande på destinationsadressen. Hoskinson påpekar att den kontobaserade modellen som Ethereum och många andra EVM-kedjor använder leder direkt till denna typ av bedrägeri. Adresser visas som fria strängar i transaktionshistoriken, och plånböcker uppmuntrar till kopiering från tidigare utbyten. Det är precis vad hackare utnyttjar.
Kedjor som Bitcoin och Cardano, som är baserade på UTXO-modellen, fungerar annorlunda. Varje transaktion producerar nya utdata medan befintliga förbrukas. Plånböcker skapar vanligtvis transaktioner från explicita UTXO-val snarare än att återanvända kontopunkter, och användare förlitar sig inte på att kopiera destinationsadresser från kontohistorier på samma sätt. Ett bestående kontotillstånd för att visuellt förgifta finns inte.
Slutsats
Detta var inte en protokollbrist eller en exploatering av smarta kontrakt. Det var en brist i designen som interagerade med mänsklig natur, och på mindre än en timme kostade det 50 miljoner dollar.
