MetaMask odmawia wysłania wiadomości on-chain, drwiąc z króla MEV: Co tak naprawdę się stało?

MetaMask zaprzeczył wysłaniu szeroko udostępnionej wiadomości on-chain, która wydawała się kpić z Jaredfromsubway, operatora Ethereum MEV, który niedawno stracił 15 milionów dolarów w wyniku oszustwa honeypot.

Dostawca portfela wyjaśnił, że wiadomość pochodziła z podobnego imienia w Ethereum Name Service (ENS), a nie z żadnego z jego oficjalnych adresów. To pomylenie ujawniło wadę projektową w sposobie, w jaki nazwy ENS są wyświetlane na większości platform.

Impersonacja ENS za zamieszaniem z nazwą MetaMask

Większość platform konwertuje uchwyty ENS na małe litery przed ich wyświetleniem. Ta konwencja ukrywa istotną różnicę. „MetaMask.eth” z wielkimi literami i prawdziwe „metamask.eth” wyglądają identycznie dla większości użytkowników. Jednak te dwa imiona prowadzą do całkowicie różnych adresów on-chain.

Impersonująca nazwa odrzuciła prawne zagrożenie ze strony Jaredfromsubway, argumentując, że pozew nie przetrwa w sądzie. MetaMask potwierdził na X, że nie miał nic wspólnego z wiadomością.

MetaMask wyjaśnia swoją rolę po oszustwie Jaredfromsubway

Jaredfromsubway już wcześniej zaoferował napastnikowi 50% umowy white hat z 48-godzinnym terminem. Groził działaniami prawnymi, jeśli fundusze nie zostaną zwrócone. Historia wycieku bota Ethereum MEV przyciągnęła znaczną uwagę w społeczności DeFi. Ta widoczność uczyniła incydent celem o wysokiej wartości dla impersonatorów.

Napastnik nie wykazał żadnych oznak akceptacji umowy. Dane on-chain pokazują, że 5,1 miliona dolarów z 7,5 miliona dolarów skradzionych już trafiło do Tornado Cash. Środki wpłynęły jako 2 000 ETH podzielone na 20 transakcji po 100 ETH każda. Napastnik wymienił również pozostałe 1 422 ETH na 2,44 miliona dolarów w DAI, według analityka blockchain.

Eksploatacja pułapki MEV bota wzbudziła nowe pytania o ryzyko, z jakim borykają się operatorzy MEV w konkurencyjnym środowisku. Jednak podszywanie się pod MetaMask wprowadza osobny problem niezwiązany z mechaniką MEV. Odbija to lukę w systemie nazewnictwa, z którą może się spotkać każdy użytkownik Ethereum.

Luka w projektowaniu ENS naraża użytkowników Ethereum

Nazwy ENS podążają za standardem normalizacji, który przekształca wszystkie wielkie litery na małe. Proces ten sprawia, że nazwy są niewrażliwe na wielkość liter na poziomie wyświetlania, ale rejestracje wciąż rozróżniają różne kombinacje wielkości liter. Zatem zły aktor, który zarejestrował „MetaMask.eth”, posiada technicznie ważną nazwę ENS z technicznie ważnym roszczeniem.

ENS nie blokuje rejestracji nazw, które różnią się od istniejących tylko wielkością liter. Sprawcy mogą zarejestrować podobne nazwy z wyprzedzeniem i aktywować je w trakcie głośnych wydarzeń. Szeroka fala hacków kryptowalutowych w czerwcu już ujawniła podobne wzorce inżynierii społecznej związane z publicznymi incydentami.

Szerszy wzór w bezpieczeństwie DeFi

Tymczasem wysiłki w zakresie bezpieczeństwa kryptowalut na poziomie wykonawczym koncentrują się głównie na standardach kryptograficznych. Wrażliwości związane z warstwą wyświetlania w dużej mierze wykraczają poza ten zakres regulacyjny, pozostawiając lukę, którą deweloperzy i dostawcy portfeli muszą samodzielnie zająć.

Incydent z MetaMask wpisuje się w wzór widoczny w całym DeFi. Napastnicy konsekwentnie wykorzystują przestrzeń między tym, co interfejsy wyświetlają, a tym, co protokoły faktycznie wykonują. Straty protokołów pożyczkowych DeFi odzwierciedlają tę samą dynamikę na poziomie strukturalnym. Dopóki branża nie zamknie tych luk, podszywanie się pod warstwę wyświetlania pozostanie niskokosztowym, wysokozyskownym wektorem ataku.

Źródło: BeInCrypto