Superfortune: La filtración de la clave privada del atacante, y no el envenenamiento de direcciones, no es obra de un infiltrado

Superfortune, incubado por Manta, publicó recientemente una actualización en la plataforma X sobre un incidente de seguridad, afirmando que el ataque no fue ejecutado por personal interno y que ningún miembro del equipo estuvo involucrado. La afirmación de que el equipo vendió tokens en secreto es incorrecta. El equipo tampoco ha tenido contacto alguno con Web3Port.

La investigación confirmó que el ataque no se debió a un envenenamiento de direcciones, sino a una filtración de la clave privada del firmante. El atacante poseía la clave privada de forma independiente y envió una transacción con una dirección falsificada 43 minutos después de la transacción correcta. La dirección falsificada comparte los primeros y últimos cuatro caracteres con la dirección correcta (comienza con 0x70AE y termina con 5C15) para disfrazarse en la vista previa de la interfaz de Safe. Los fondos robados son totalmente rastreables y actualmente se encuentran almacenados en tres billeteras frías en Ethereum, que contienen aproximadamente 2784 ETH, junto con cerca de 170,000 USDT que fueron transferidos mediante cadenas cruzadas.

El atacante también creó una gran cantidad de direcciones falsificadas y envió eventos de transferencia falsos a estas direcciones utilizando símbolos de token falsificados con Unicode en un intento por confundir el rastreo. Esta técnica de construcción de direcciones falsificadas es la misma que se utilizó al atacar este proyecto. El atacante había construido previamente una infraestructura a gran escala, lo que indica que se trató de una operación industrializada y no de un ataque oportunista.