Ondsindede USDG-godkendelser rammer brugere
Brugere er blevet ramt af ondsindede USDG-godkendelser, der har givet angribere ubegrænsede udgiftsrettigheder, før de flyttede midler fra brugernes wallets i samme transaktion. Blockchain-sikkerhedsfirmaet Salus rapporterede, at angriberne fik tilladelsessignaturer fra brugerne og indsendte dem for at opnå ubegrænset tilladelse til at bruge deres USDG.
Angrebets metode
Når godkendelsen blev givet, kaldte gerningsmændene straks transferFrom-funktionen for at flytte tokens. Dette involverer ondsindede godkendelser, hvor gerningsmændene indsender brugernes tilladelsessignaturer for at få ubegrænset tilladelse til at bruge deres USDG og kalder derefter straks transferFrom. Godkendelsen og overførslen af midlerne afsluttes i samme transaktion, hvilket dræner brugernes wallets.
“Begge trin blev afsluttet inden for en enkelt transaktion, ifølge sikkerhedsfirmaet, hvilket efterlod brugerne med lidt tid til at reagere, når deres signaturer var blevet indsendt.”
Midlerne, der blev taget gennem transaktionerne, blev derefter delt mellem to adresser, der blev kontrolleret af angriberne, med 20% sendt til én adresse og 80% til en anden. Salus sammenlignede distributionsmønsteret med indtægtsdelingsstrukturen, der blev brugt af Inferno Drainer som en service-operation.
Godkendelsessignaturer og phishing
I centrum af de rapporterede tyverier var tilladelsessignaturer, som kan tillade tokenholdere at godkende udgifter uden først at indsende en separat godkendelsestransaktion on-chain. Når angriberne havde fået signaturerne, sagde Salus, at de indsendte dem for at autorisere ubegrænset USDG-udgifter og fulgte godkendelsen med transferFrom.
Funktionen tillader en godkendt spender at overføre tokens fra en anden adresse inden for rammerne af en eksisterende tilladelse. Metoden passer til en almindelig form for godkendelsesphishing, hvor angriberne ikke behøver at få en wallets private nøgle eller seed phrase.
Konsekvenser og tidligere hændelser
En ubegribelig godkendelse efterlader den godkendte adresse i stand til at overføre den berørte token op til indehaverens tilgængelige balance. Et lignende godkendelsesangreb i juli så en Ethereum-bruger miste næsten $1 million efter at have underskrevet en ondsindet transaktion.
I Revenues tilfælde sagde Salus, at godkendelsen og den efterfølgende overførsel blev udført sammen, med den stjålne USDG derefter dirigeret mod de to adresser. Sikkerhedsfirmaet har ikke offentligt fastlagt et samlet tabstal for de Revenue-relaterede transaktioner i de oplysninger, der er tilgængelige indtil videre.
Revenue og deres tjenester
Revenue beskriver sig selv som en service til at flytte midler fra X Money til kryptovaluta uden know your customer-tjek. Deres hjemmeside fortæller brugerne at logge ind med en X-konto, oprette en ordre og sende dollars gennem X Money til kontoen. Revenue siger, at de derefter sender kryptovaluta til den wallet, som brugeren har angivet.
Tilgængelige udbetalingsmuligheder, der annonceres på hjemmesiden, inkluderer USDC, USDT, SOL og ETH. Ordrer kan variere fra $10 til $20.000, med en angivet daglig grænse på $20.000 pr. konto. Revenue opkræver et gebyr på 2% plus $0,50.
Afsluttende bemærkninger
Spørgsmål omkring Revenue dukkede op flere dage før Salus afslørede de påståede ondsindede godkendelser. Deres hjemmeside præsenterer i øjeblikket sikkerhedsinstruktioner, der fortæller brugerne, at projektet aldrig vil kontakte dem først gennem direkte beskeder eller anmode om adgangskoder, seed phrases eller private nøgler.
Den fortæller brugerne at sende X Money-betalinger kun efter at have oprettet en ordre gennem deres hjemmeside. Revenues hjemmeside forblev tilgængelig efter sikkerhedsfirmaets afsløring og fortsatte med at annoncere X Money til kryptovaluta-konverteringer, da den blev tjekket.
