" Злоумышленник, подстасовавший адрес, который предположительно обманом заставил пользователя отправить ему Wrapped Bitcoin (wBTC) на сумму 68 миллионов долларов, отправил жертве эфир (ETH) на сумму 153 000 долларов, явно демонстрируя добросовестность. В той же транзакции злоумышленник отправил сообщение о согласии на переговоры и запросил у жертвы имя пользователя Telegram, по которому с ней можно связаться. Отправленная обратно сумма составляет всего 0,225% от общей суммы предположительно украденных средств.
Данные блокчейна показывают, что 5 мая жертва атаки, чья учетная запись заканчивается на «8fD5», отправила три сообщения на учетную запись, заканчивающуюся на «dA6D». Получатель сообщения получил средства с атакующего аккаунта с пометкой «FakePhishing327990» на Etherscan через несколько промежуточных аккаунтов. Это означает, что «dA6D», скорее всего, находился под контролем злоумышленника.
В сообщениях подразумевается, что жертва была готова отдать злоумышленнику 10% средств в качестве награды и воздержаться от судебного преследования, если он вернет остальные 90%.
«Мы оба знаем, что эти средства невозможно очистить. Вас выследят. Мы также оба понимаем, что фраза «спать спокойно» не про ваши морально-этические качества. Тем не менее, мы официально поддерживаем ваше право на эти 10%. Отправьте 90% обратно. У вас есть 24 часа до 10 утра по всемирному координированному времени 6 мая 2024 года, чтобы принять решение, которое в любом случае изменит вашу жизнь», — заявил потерпевший.
9 мая в 11:37 по всемирному координированному времени другой аккаунт, оканчивающийся на «72F1», ответил жертве отправкой 51 ETH (стоимостью 153 000 долларов США на тот момент). «72F1» также получал средства от «FakePhishing327990» через несколько промежуточных счетов, что указывает на то, что он также находился под контролем злоумышленника.
В транзакции, в ходе которой был отправлен 51 ETH, злоумышленник также опубликовал сообщение:
«ПожалуйстаоставьтесвойTelegramиясвяжусьсвами». Затем в 11:43 он попытался исправить неправильную пунктуацию, опубликовав дополнительное сообщение, в котором говорилось: «Пожалуйста, оставьте свой Telegram, и я свяжусь с вами».
В ответ жертва опубликовала имя пользователя Telegram, по которому с ней можно связаться.
Адрес жертвы отравления договаривается с злоумышленником. Источник: Etherscan.
Переговоры произошли после того, как злоумышленник якобы обманом заставил жертву отправить 1155 wBTC (стоимостью 68 миллионов долларов на тот момент) на ее счет посредством транзакции «подделки адреса».
Данные блокчейна показывают, что в 9:17 3 мая злоумышленник использовал смарт-контракт для перевода 0,05 токена со счета жертвы на счет злоумышленника. Переданный токен не имел имени, указанного на Etherscan, и назывался просто «ERC-20». В обычных обстоятельствах злоумышленник не может передать токен от другого пользователя без его согласия. Но в данном случае токен имел нестандартный дизайн, позволяющий переносить его с аккаунта без согласия пользователя.
В 10:31 того же дня жертва отправила на этот адрес 1155 wBTC, видимо, по ошибке. Адрес мог показаться похожим на адрес, который жертва использовала для внесения средств на централизованную биржу, или по какой-либо другой причине.
Кроме того, пользователь мог видеть, что ранее отправлял на этот адрес 0,05 токена, и поэтому предположил, что это безопасно. Однако 0,051 токена были отправлены злоумышленником и, по всей видимости, пришли только от жертвы.
Когда злоумышленник пытается запутать жертв, рассылая им спам с транзакциями, которые кажутся исходящими от них, но на самом деле исходят от злоумышленника, эксперты по безопасности называют это «атакой с отравлением адреса». Эксперты рекомендуют пользователям внимательно проверять адрес отправки в транзакции перед ее подтверждением, чтобы избежать дорогостоящих ошибок в результате подобных атак.
