L'attaquant par empoisonnement d'adresse qui a trompé un utilisateur en lui envoyant 1 155 Wrapped Bitcoin (wBTC) (d'une valeur de 68 millions de dollars à l'époque) a restitué presque tous les fonds volés, selon les données de la blockchain. Les fonds ont été échangés contre de l'Ether (ETH) pendant la période où ils étaient détenus par l'attaquant, et le prix de l'ETH a chuté.
Cependant, l'attaquant a renvoyé environ 22 960,07 ETH, d'une valeur de 65,7 millions de dollars, ce qui représente plus de 96 % de la valeur en dollars américains des fonds initialement volés.
Le portefeuille de la victime d’un empoisonnement d’adresse contient plus de 22 000 ETH. Source : Etherscan.
Le 10 mai à 8 h 47 UTC, plusieurs portefeuilles ont commencé à envoyer de l'ETH sur le compte. Le premier transfert était de 29 999 ETH (87 199 $ sur la base du prix ETH de l'époque). Au cours de la journée suivante, plus de 225 transactions de portefeuille ont été effectuées à partir de divers comptes pour envoyer de l'ETH à l'adresse de la victime. La valeur de chaque transaction variait de 29 à 67 ETH.
Comptes envoyant de l’ETH à l’adresse de la victime. Source : Etherscan.
À la fin de la série de transactions, le portefeuille avait un solde de plus de 29 000 ETH.
Les transferts ont eu lieu après qu'une série de messages aient été échangés entre la victime et l'agresseur. La victime avait dans un premier temps accepté que l'agresseur conserve 10 % des fonds à titre de prime. Cependant, cet accord ne semble plus être sur la table, puisque l'attaquant a renvoyé plus de 90 % au moment de la publication.
Dans un rapport attribué à la plateforme de sécurité blockchain Match Systems et consulté par Cointelegraph, la plateforme affirme avoir découvert des informations qui « ont renforcé » la position de négociation de la victime, ce qui implique que les experts en sécurité progressaient dans l'identification de l'attaquant.
Selon le rapport, Match Systems « a mené une analyse détaillée de l’incident et a identifié plusieurs opportunités pour renforcer la position de négociation en vue d’une communication ultérieure avec l’attaquant ». En conséquence, « le pirate informatique a restitué la totalité du montant volé de 22 960 ETH à la victime ». Le rapport indique que la victime « n’a aucune plainte contre l’agresseur » pour le moment.
Cointelegraph a contacté Match Systems pour confirmer l'authenticité du rapport, mais n'a pas reçu de réponse au moment de la publication.
Les attaques par empoisonnement d’adresse peuvent entraîner des pertes substantielles pour les utilisateurs de crypto. Les experts suggèrent qu’ils peuvent être évités en inspectant soigneusement l’adresse de réception avant l’envoi de chaque transaction.
Related: DEA se fait tromper : l'agence perd 55 000 $ dans une escroquerie par empoisonnement d'adresse
