Titres Titres
Un fondateur de crypto a esquivé une tentative d’escroquerie d’ingénierie sociale « extrêmement approfondie » qui aurait pu lui coûter plus de 125 millions de dollars d’Ethereum (ETH). La tentative montre que les pirates deviennent de plus en plus sophistiqués et « super intelligents ».
L’ingénierie sociale est une méthode utilisée par les cybercriminels pour gagner la confiance de quelqu’un, souvent par manipulation, afin de voler des informations sensibles ou de lui faire prendre des mesures qu’« ils ne feraient pas autrement ». Heather Morgan a peut-être volé 4,5 milliards de dollars à Bitfinex de cette façon.
Thomasg.eth est le fondateur pseudonyme d’Arrow, un DAO en phase de démarrage travaillant à la construction d’un système de transport aérien décentralisé. Le dimanche, il détaillé comment il a été presque socialement conçu pour abandonner tout son ETH.
Le fondateur a parlé des efforts considérables déployés par les escrocs pour tenter de voler son argent, notamment en produisant du travail pour son projet et en engageant des discussions avec plusieurs personnes sur une période de deux semaines.
L’escroquerie a échoué uniquement parce que Thomasg.eth a décidé d’utiliser une nouvelle adresse Ethereum, et non son adresse principale lors de l’exécution d’une faveur impliquant des jetons non fongibles (NFT) pour les pirates. Écrivant sur Twitter, le fondateur d’Arrow a déclaré :
Au cours des deux dernières semaines, j’ai été la cible d’une escroquerie d’ingénierie sociale extrêmement approfondie qui m’a presque coûté la totalité de mon ETH. Je suis super chanceux de m’en être sorti indemne.
Ingénierie sociale : les escrocs se portent volontaires chez Arrow pour gagner la confiance
Thomas.eth a déclaré qu’un utilisateur nommé Heckshine l’avait contacté sur Discord et lui avait proposé de l’aider « avec la conception et l’animation 3D » gratuitement. Il a obligé et lui confie quelques tâches. Le travail de Heckshine est prolifique et Thomasg est « impressionné » par le dévouement du designer au projet.
La confiance gagnée, Heckshine a rapidement mis le fondateur d’Arrow DAO en contact avec une connexion « accomplie » de l’industrie, Linh, qui a initié l’arnaque. Thomasg.eth accepte de prendre Linh à bord en tant que conseiller.
Elle a ensuite convaincu Thomasg d’essayer le service de jalonnement d’un projet NFT qu’elle dirigeait – Space Falcon, un projet de jeu populaire sur Solana, mais dont le nom de domaine Linh a été corrompu à des fins de fraude. Linh envoie un NFT à son adresse Ethereum. Expliquant, Thomasg a déclaré:
« Maintenant, c’est là que j’ai eu une chance incroyable. Puisqu’il s’agit d’un nouveau projet, j’ai décidé de déplacer le NFT vers une nouvelle adresse ETH avant de passer par le processus de jalonnement – juste au cas où ils seraient exploités plus tard ou quelque chose comme ça. La mise passe et je gagne un rendement dessus.
Mais Linh le pousse à miser un autre NFT, cette fois depuis son compte principal. C’est à ce moment-là qu’il « a finalement réalisé que quelque chose de sommaire se passait ».
« Alors j’ai choisi Etherscan pour la nouvelle adresse où j’ai jalonné le premier NFT et mon sang devient glacial », déclare Thomasg. « L’aWETH que j’ai approuvé n’était pas [Space Falcon’s] Armstrong ETH, mais plutôt aWETH d’Aave. Sur mon adresse principale, presque tout mon ETH est assis à Aave.
Faux contrats intelligents
Thomasg.eth a enquêté plus avant sur le contrat et a découvert que le contrat intelligent incluait une commande où tout l’aWETH aurait pu être drainé à tout moment par les pirates.
Alors que la première mise active aurait pu entraîner le vol des seules récompenses de mise, une attaque contre son adresse principale, qui contenait environ 125 millions de dollars en aWETH à l’époque, aurait complètement vidé le compte.
Il est probable que les criminels ont été attirés par l’équilibre des graisses dans l’adresse de Thomasg, qui utilise le service de noms Ethereum (ENS). Le service permet aux utilisateurs d’exploiter les noms comme adresses au lieu des caractères alphanumériques qui composent une adresse ETH normale. Les pirates l’auraient très bien recherché avant de commencer l’engagement.
Thomasg.eth a admis :
« Peut-être que ma plus grande erreur dans tout cela a été de garder tous mes fonds dans le même portefeuille que mon ENS. La sécurité par l’obscurité m’aurait empêché de devenir une cible en premier lieu.
Les escrocs ont depuis effacé leur empreinte sur Discord, mais Thomasg pense maintenant qu’ils ont embauché un graphiste pour faire le travail de Heckshine pendant que le duo se concentrait sur le vol de lui.
« Ils avaient également construit des contrats personnalisés et le front-end entièrement spécifiques à cette arnaque », a-t-il déclaré. « Ces gars étaient incroyablement bien financés et super intelligents. »
Avertissement
Toutes les informations contenues sur notre site Web sont publiées de bonne foi et à des fins d’information générale uniquement. Toute action que le lecteur entreprend sur les informations trouvées sur notre site Web est strictement à ses risques et périls.
