Los piratas informáticos extraen más de $ 3 millones de las direcciones «vanity» de Ethereum

Las direcciones de Ethereum generadas por una herramienta de vanidad de Ethereum abandonada han sido despojadas de más de $ 3 millones en activos por parte de los explotadores.

La herramienta, llamada “Profanity”, utilizó un método inseguro para generar claves públicas, de las cuales se podían extraer las claves privadas de los usuarios.

Claves inseguras

El popular agregador de intercambio descentralizado 1Inch notó por primera vez la vulnerabilidad el jueves, solo unas horas antes de que comenzara a ser explotada.

«Corran tontos,» tuiteó 1 pulgada. “Su dinero NO ES SAFU si la dirección de su billetera se generó con la herramienta Profanity. ¡Transfiere todos tus activos a una billetera diferente lo antes posible!”

Profanity permite a los usuarios generar direcciones de vanidad: direcciones de cadena de bloques con información identificable incorporada. Por lo general, los utilizan en criptografía personas que buscan mostrar su patrimonio neto y que no desean privacidad.

Todas las direcciones de blockchain (también conocidas como claves públicas) se derivan de una semilla determinada (también conocida como clave privada). Mientras que las claves públicas permiten a los usuarios recibir criptomonedas de otra persona, solo las claves privadas asociadas pueden otorgar acceso a alguien a los activos estacionados en una dirección específica.

Mientras que una clave privada se puede usar para producir o verificar una clave pública adjunta, la criptografía asegura que lo contrario sea imposible de deducir.

Sin embargo, como explicó 1Inch en un entrada en el blog, no se puede decir lo mismo de las direcciones producidas por Blasfemias. En cambio, el agregador DEX descubrió la semana pasada que dichas direcciones podrían deconstruirse en su clave privada utilizando cálculos de «fuerza bruta».

Las consecuencias

Datos en cadena muestra que un pirata informático drenó varias direcciones generadas por la herramienta de cientos de ETH a la vez el jueves. ZachXBT en Twitter reportado que más de $ 3.3 millones ya se habían agotado para el viernes.

1Inch dijo que, según su investigación, las direcciones de vanidad de mayor valor neto en Ethereum no parecen haber sido creadas a través de Blasfemias. Además, la herramienta «Erradicar» del mismo creador no parece tener la misma vulnerabilidad.

El creador anónimo, johguse, no ha trabajado en Profanity durante años, ya que anteriormente mencionó una vulnerabilidad similar.

“Me han llamado la atención los problemas fundamentales de seguridad en la generación de claves privadas”, dijo. escribió en su página de GitHub. «Recomiendo enfáticamente no usar esta herramienta en su estado actual».