Stort tab som følge af on-chain svindel
For nylig skete et af de største tab som følge af on-chain svindel. Et adresseforgiftningangreb, der udnytter, hvordan kontobaserede blockchains håndterer transaktionshistorik og genbrug af adresser, fik en enkelt bruger til at miste næsten 50 millioner USD i USDT. Ifølge Charles Hoskinson ville dette ikke være sket på nogle arkitekturer, der er mere modstandsdygtige over for fejl af denne art.
Hvordan angrebet blev udført
En anden grund til, at UTXO-modellen er fantastisk. Bitcoin og Cardano blev ikke påvirket, efter at pengene blev taget fra Binance. Ofrets tegnebog, som havde været aktiv i omkring to år og hovedsageligt blev brugt til USDT-overførsler, modtog næsten 50 millioner USD. Brugeren sendte en kort testtransaktion til den tiltænkte modtager, hvilket mange ville betragte som en sikker adfærd. Det fulde beløb blev sendt et par minutter senere, men den forkerte adresse blev brugt til den anden overførsel.
Tidligere havde svindleren udført et adresseforgiftningangreb ved at sende et lille beløb af USDT fra en tegnebog, der var designet til at ligne en rigtig adresse, som ofret tidligere havde brugt. Ofret valgte fejlagtigt den forgiftede adresse i stedet for den korrekte, da de kopierede adressen fra transaktionshistorikken. Som et resultat blev 50 millioner USD tabt med blot ét klik. Selvom det sandsynligvis vil blive flyttet eller udvekslet, er den stjålne USDT i øjeblikket stadig på destinationsadressen.
“Dette er endnu en grund til, at UTXO-modellen er fantastisk,” sagde Hoskinson som svar på hændelsen.
Designfejl og menneskelig natur
Han tager ikke fejl. Den kontobaserede model, som Ethereum og mange andre EVM-kæder anvender, fører direkte til denne type svindel. Adresser vises som friformede strenge i transaktionshistorikken, og tegnebøger fremmer kopiering fra tidligere transaktioner. Det er netop det, hackere udnytter.
Kæder som Bitcoin og Cardano, der er baseret på UTXO-modellen, fungerer anderledes. Hver transaktion producerer nye output, mens eksisterende forbruges. Tegnebøger skaber normalt transaktioner fra eksplicitte UTXO-valg snarere end genbrugte konto-endepunkter, og brugere er ikke afhængige af at kopiere destinationsadresser fra kontohistorier på samme måde. En vedholdende kontotilstand til visuelt at forgifte eksisterer ikke.
Dette var ikke en protokolfejl eller et udnyttelse af smarte kontrakter. Det var en fejl i designet, der interagerede med menneskelig natur, og på mindre end en time kostede det 50 millioner USD.
