Stort tap fra on-chain svindel
Nylig skjedde et av de største tapene fra on-chain svindel. Et adresseforgiftningangrep, en svindel som utnytter hvordan konto-baserte blokkjeder håndterer transaksjonshistorikk og adressegjenbruk, førte til at en enkelt bruker mistet nesten 50 millioner dollar i USDT.
Hvordan svindelen skjedde
Ifølge Charles Hoskinson ville dette ikke skjedd på arkitekturer som er iboende mer motstandsdyktige mot slike feil. Slik skjedde det:
Brukeren, som hadde hatt en lommebok aktiv i omtrent to år og hovedsakelig brukt til USDT-overføringer, mottok nærmere 50 millioner dollar. De sendte en kort testtransaksjon til den tiltenkte mottakeren, noe mange ville ansett som trygg atferd. Det fulle beløpet ble sendt noen minutter senere, men den feilaktige adressen ble brukt for den andre overføringen.
«Dette er en annen grunn til at UTXO-modellen er fantastisk,» sa Hoskinson som svar på hendelsen.
UTXO-modellen vs. konto-baserte modeller
Svindleren utførte et adresseforgiftningangrep ved å sende et lite beløp av USDT fra en lommebok designet for å se ut som en ekte adresse som offeret tidligere hadde brukt. Offeret valgte feilaktig den forgiftede adressen i stedet for den riktige når de kopierte adressen fra transaksjonshistorikken. Som et resultat ble 50 millioner dollar tapt med bare ett klikk.
Selv om det sannsynligvis vil bli flyttet eller byttet, er den stjålne USDT for øyeblikket fortsatt på destinasjonsadressen. Hoskinson påpeker at den konto-baserte modellen som Ethereum og mange andre EVM-kjeder bruker, fører direkte til denne typen svindel. Adresser vises som friformede strenger i transaksjonshistorikken, og lommebøker fremmer kopiering fra tidligere utvekslinger. Det er nettopp dette hackerne utnytter.
Kjeder som Bitcoin og Cardano, som er basert på UTXO-modellen, fungerer annerledes. Hver transaksjon produserer nye utganger mens eksisterende forbrukes. Lommebøker lager vanligvis transaksjoner fra eksplisitte UTXO-valg i stedet for gjenbrukte kontoendepunkter, og brukere stoler ikke på å kopiere destinasjonsadresser fra kontohistorier på samme måte. En vedvarende kontotilstand for å visuelt forgifte eksisterer ikke.
Konklusjon
Dette var ikke en protokollfeil eller en utnyttelse av smarte kontrakter. Det var en feil i designen som interagerte med menneskelig natur, og på mindre enn en time kostet det 50 millioner dollar.
