MetaMask Address Poisoning requiere un antídoto simple

MetaMask advierte a sus usuarios sobre una nueva y creciente estafa criptográfica llamada «envenenamiento de direcciones», sin embargo, la noticia llegó un poco tarde para algunos.

Las billeteras de criptomonedas pueden incluir una o más cuentas, cada una con su propia dirección generada criptográficamente, explica MetaMask en un publicación. Sin embargo, estos números hexadecimales largos son intencionalmente difíciles de recordar, lo que requiere copiar y pegar con frecuencia. Esto es exactamente lo que intenta aprovechar el envenenamiento de direcciones.

Cómo las direcciones se «envenenan»

En lugar de un pirateo sofisticado que compromete la infraestructura de un protocolo, el envenenamiento de direcciones se basa más bien en la psicología humana y la mecánica de las transacciones criptográficas. El siguiente escenario es un ejemplo de ello.

En este caso, el usuario A realiza transacciones regulares con el usuario B, de quien el atacante C se da cuenta del uso de un software que monitorea las transferencias de ciertos tokens, generalmente monedas estables. El atacante luego usará un generador de direcciones de «vanidad» para crear una dirección de pirata informático C que coincida estrechamente con la dirección de usuario B.

El atacante C realizará una transacción de $0 entre la dirección del usuario A y la dirección del pirata informático C. Esto da como resultado un «envenenamiento» de la dirección, ya que la dirección del pirata informático C se almacena en caché en la dirección del usuario B para la dirección del usuario A. Dado que la dirección del atacante C comparte la misma primero y los últimos 4 dígitos como la dirección del usuario B, el atacante C espera que el usuario A use su dirección sin darse cuenta cuando intente realizar transacciones con el usuario B.

La estafa se puede evitar fácilmente verificando las direcciones minuciosamente antes de realizar transacciones, por tediosas que sean.

Errores de MetaMask

Algunos usuarios están decepcionados por la demora en anunciar la noticia. “Los documentos de MetaMask finalmente abordan el ataque de envenenamiento después de más de 2 meses”, tuiteó Han Tuzun. Su publicación proporcionó un enlace a un artículo que explica la estafa en detalle con fecha de principios de diciembre.

Tuzun también advirtió a los usuarios sobre los generadores de direcciones de vanidad que podrían generar direcciones casi idénticas en segundos. El usuario de Twitter también instruyó a los constructores de infraestructura para que advirtieran suficientemente a los usuarios en la interfaz de usuario contra tales ataques.

Este último revés para MetaMask se produce después de que se enfrentó a una fuerte reacción pública tras una actualización de sus políticas de retención de datos. La compañía actualizó su política de privacidad a fines del año pasado, lo que generó informes de que esto implicaría la recopilación de las billeteras y las direcciones IP de los usuarios.

Esto condujo rápidamente a una acalorada respuesta de la criptocomunidad, lo que llevó al desarrollador ConsenSys a publicar una publicación el 6 de diciembre para tratar de tranquilizar a sus usuarios.