O erro da empresa de segurança Web3 expõe as vítimas de um exploit de $50 milhões ao drainer de carteira

As vítimas do ataque à plataforma de empréstimos DeFi da Radiant Capital foram lançadas no caos quando uma empresa de segurança erroneamente compartilhou um link para uma carteira que drena enquanto tentava ajudá-las.

Em 17 de outubro, a startup de segurança web3 Ancilia foi criticada por sua negligência depois de redirecionar as vítimas do ataque para uma X conta que se fazia passar pelo credor DeFi para enganar os utilizadores a visitar um site malicioso projetado para drenar os ativos dos utilizadores através de phishing de aprovação.

Especialistas em segurança enganados

Ancilia foi a primeira a relatar a exploração em 16 de outubro, que viu os contratos inteligentes da Radiant Capital na BNB Chain e Arbitrum comprometidos através da função ‘transferFrom’, permitindo que os atacantes drenassem mais de $50 milhões em ativos, incluindo USDC, WBNB e ETH.

Após a violação, a Radiant instou os utilizadores a revogar todas as aprovações utilizando o Revoke.cash, uma ferramenta que permite aos utilizadores desconectar as suas carteiras de potenciais contratos inteligentes maliciosos, para evitar mais perdas

Este passo foi necessário porque os atacantes haviam ganho controle de várias chaves privadas, permitindo-lhes controlar a carteira multi-assinatura do protocolo DeFi ao transferir a propriedade.

Os vigaristas da Cripto aproveitaram a oportunidade, fazendo-se passar pela Radiant Capital no X e partilhando ligações falsas disfarçadas para imitar a plataforma Revoke.cash. Ancilia, sem perceber a fraude, partilhou acidentalmente a publicação falsa, pedindo aos utilizadores que “seguir o link”, que levava diretamente ao esvaziador de carteiras.

Postagem excluída de Ancilia repostando um imitador da Radiant Capital | Fonte: Spreek/XSe as vítimas azaradas clicassem e conectassem suas carteiras, aprovando as permissões, seus fundos teriam sido desviados.

Membros atentos da comunidade foram rápidos a apontar o erro da empresa de segurança e criticaram a negligência da Ancilia como uma “‘conta’ de segurança ‘confiável’.” Posteriormente, a Ancilia apagou a publicação, emitiu um pedido de desculpas e dirigiu os utilizadores para a conta original da Radiant Capital.

A gravidade desses golpes é destacada pelo fato de que os atores mal-intencionados orquestram essas campanhas de phishing de aprovação a partir de contas X sequestradas que muitas vezes ostentam o marcador de verificação dourado, que é designado para organizações verificadas na plataforma de mídia social.

Em seguida, ao modificar ligeiramente o nome e o identificador da conta, os golpistas conseguem enganar os utilizadores do web3. Neste caso, eles alteraram o nome da conta para “Radiarnt Capital”, em vez de “Radiant Capital”, e modificaram o identificador para “@RDNTCapitail”, em vez de “@RDNTCapital”. Embora essas alterações possam parecer fáceis de detectar, muitos utilizadores frequentemente não as percebem à primeira vista.

Neste momento da escrita, várias instâncias da referida publicação de phishing ainda estavam ativas sob as publicações da Ancilia.

Golpes de personificação

Fingir projetos genuínos para enganar investidores de criptomoeda tornou-se uma das ferramentas mais comuns para golpistas atrair vítimas para plataformas de phishing.

No início deste ano, a empresa de segurança cibernética SlowMist alertou que mais de 80% dos comentários em postagens de grandes projetos de criptomoedas eram golpes. Enquanto isso, um relatório do ScamSniffer apontou que essa tática era a estratégia preferida dos golpistas, causando milhões de dólares em perdas para os investidores de criptomoedas em fevereiro.

Apenas um dia antes do ataque recente, os maus atores foram vistos a realizar uma campanha semelhante para enganar os investidores da WLFI. Os vigaristas até mesmo visaram os utilizadores da Revoke Cash ao fazerem-se passar pelo serviço no início de setembro e promover um site malicioso usando anúncios do Google.

Em notícias relacionadas, esta foi a segunda vez que a Radiant Capital foi explorada este ano. Hackers conseguiram escapar com $4,5 milhões do protocolo em um ataque de empréstimo flash em janeiro.