Superfortune: Durchsickern des privaten Schlüssels des Angreifers, nicht Adress-Poisoning, war kein Insider-Job

Superfortune, von Manta inkubiert, veröffentlichte kürzlich ein Update auf der X-Plattform zu einem Sicherheitsvorfall. Darin heißt es, dass der Angriff nicht von internem Personal durchgeführt wurde und keine Teammitglieder involviert waren. Die Behauptung, das Team habe heimlich Token verkauft, ist falsch. Das Team hatte zudem keinerlei Kontakt zu Web3Port.

Die Untersuchung bestätigte, dass der Angriff nicht auf Adress-Poisoning zurückzuführen war, sondern auf das Durchsickern des privaten Schlüssels des Signierers. Der Angreifer besaß den privaten Schlüssel eigenständig und reichte 43 Minuten nach der korrekten Transaktion eine Transaktion mit einer gefälschten Adresse ein. Die gefälschte Adresse stimmt in den ersten und letzten vier Zeichen mit der korrekten Adresse überein (beginnend mit 0x70AE und endend mit 5C15), um sich in der Vorschau der Safe-Schnittstelle zu tarnen. Die gestohlenen Gelder sind vollständig nachverfolgbar und werden derzeit in drei Cold Wallets auf Ethereum aufbewahrt, die etwa 2784 ETH sowie rund 170.000 USDT enthalten, die per Cross-Chain-Transfer abgeführt wurden.

Der Angreifer erstellte zudem eine große Anzahl gefälschter Adressen und sandte falsche Transferereignisse an diese Adressen, wobei Unicode-gefälschte Token-Symbole verwendet wurden, um die Nachverfolgung zu erschweren. Diese Technik zur Erstellung gefälschter Adressen entspricht der Methode, die beim Angriff auf dieses Projekt verwendet wurde. Der Angreifer hatte eine groß angelegte Infrastruktur im Voraus aufgebaut, was darauf hindeutet, dass es sich um einen industrialisierten Vorgang und nicht um einen opportunistischen Angriff handelte.