کلاهبرداران بیت کوین با جعل هویت پلیس و تخلیه 2.7 میلیون دلاری Sunray Finance
برخی از ساکنان ایالت کلرادو در ایالات متحده قربانی یک کلاهبرداری جدید با جعل هویت پلیس شدهاند. به گزارش سایت خبری محلی Summit Daily در تاریخ 31 اکتبر، یک کلاهبردار با ساکنان تماس گرفته و ادعا کرده که نماینده دولت محلی است. او به قربانی گفته که باید به دلیل عدم حضور در هیئت منصفه، جریمه 10,000 دلاری پرداخت کند که باید به بیت کوین پرداخت شود. در پاسخ، قربانی 6,000 دلار بیت کوین (BTC) منتقل کرد، اما مقامات واقعی مانع از انتقال 4,000 دلار باقیمانده شدند و آن را از دست کلاهبردار نجات دادند.
به گزارش این سایت، این تنها حادثه کلاهبرداری تلفنی با بیت کوین در این منطقه نیست. در موردی دیگر، کلاهبردار موفق شد شماره تلفن اداره کلانتر محلی را جعل کند. او با چندین نفر تماس گرفت و ادعا کرد که "گروهبان شیلینگ" است و درخواست پول کرد. این "گروهبان" جعلی ادعا کرد که افراد مذکور در دادگاه حاضر نشدهاند و حکم بازداشت برای آنها صادر شده است. برخلاف مورد قبلی، هیچیک از این افراد پولی ارسال نکردند یا اطلاعات شخصی خود را به کلاهبردار ندادند. اداره کلانتر در بیانیهای اعلام کرد که هرگز از کاربران نمیخواهد بیت کوین را از طریق تلفن منتقل کنند.
کاربران کریپتو باید آگاه باشند که تراکنشهای بلاکچین غیرقابل بازگشت هستند. هنگامی که کاربری کریپتو را به آدرسی ارسال میکند، نمیتوان آن را بازیابی کرد. به همین دلیل، کاربران باید اطمینان حاصل کنند که فردی که به او پول ارسال میکنند، واقعاً همان کسی است که ادعا میکند.
تخلیه 2.7 میلیون دلاری Sunray Finance
پروتکل معاملات دائمی Sunray Finance در Arbitrum در تاریخ 30 اکتبر مورد سوءاستفاده قرار گرفت و 2.7 میلیون دلار از دست داد. به گزارش شرکت امنیت بلاکچین TenArmor، مهاجم موفق شد قرارداد پروتکل را ارتقا داده و دویست سکستیلیون (200,000,000,000 تریلیون) از توکن بومی SUN را ایجاد کند. مهاجم سپس نیمی از این توکنها را به ارزش 2.1 میلیون دلار به تتر (USDT) تبدیل کرد که باعث سقوط قیمت SUN شد.
به نظر میرسد مهاجم متوجه نبود که یک استخر نقدینگی دوم برای SUN وجود دارد. در بلوک بعدی، یک ربات آربیتراژ حدود 90 سکستیلیون SUN از استخری که مهاجم توکنها را در آن ریخته بود خریداری کرد و سپس آن را در استخر دوم به فروش رساند و حدود 560,000 دلار اتر (ETH) سود کرد. این اقدام باعث سقوط قیمت در استخر دوم نیز شد.
Sunray در پلتفرم X اعلام کرد که "صدور ناگهانی توکنهای خزانهداری Sunray" رخ داده است و بیان کرد که در حال تلاش برای بازیابی دادهها است و از کاربران خواست تا صبور باشند. به دلیل اینکه مهاجم یک ارتقای قرارداد را آغاز کرده بود، TenArmor پیشنهاد داد که ممکن است این حمله به دلیل افشای کلید خصوصی رخ داده باشد.
کاربران کریپتو باید آگاه باشند که برخی پروتکلها دارای قراردادهای قابل ارتقا هستند. این قراردادها شامل دو بخش هستند: یک قرارداد پراکسی که موجودیها را نگه میدارد و یک قرارداد پیادهسازی که کد را شامل میشود. توسعهدهنده یا مدیر میتواند در هر زمان قرارداد پیادهسازی را تغییر دهد که میتواند منجر به تغییرات در عملکرد پروتکل شود. اگر یک پروتکل دارای قراردادهای قابل ارتقا باشد، معمولاً به این معنی است که مدیران میتوانند در هر زمان وجوه را تخلیه کنند. به همین دلیل، کاربران باید فقط با قراردادهای قابل ارتقا تعامل داشته باشند اگر به توسعهدهنده اعتماد زیادی دارند. حتی اگر توسعهدهنده کاملاً قابل اعتماد باشد، قراردادهای قابل ارتقا میتوانند در صورت سرقت کلید خصوصی توسعهدهنده توسط مهاجم، مورد سوءاستفاده قرار گیرند، که ممکن است در این مورد اتفاق افتاده باشد.
حمله به صرافی غیرمتمرکز Ramses
یک صرافی غیرمتمرکز دیگر در Arbitrum به نام Ramses در تاریخ 24 اکتبر مورد سوءاستفاده قرار گرفت و 93,000 دلار از دست داد. به گزارش پلتفرم امنیت بلاکچین Blocksec Phalcon، در این مورد، ارتقای قرارداد علت خسارت نبود. بلکه کد دارای نقصی بود که به مهاجم اجازه داد تا "قرارداد آسیبپذیر را تخلیه کند." تیم Ramses از این حمله مطلع شد و اقداماتی برای متوقف کردن آن انجام داد.
یک شرکت امنیت بلاکچین دیگر به نام SolidityScan در تاریخ 25 اکتبر گزارش کاملی از این سوءاستفاده ارائه داد. مهاجم از یک توکن غیرقابل تعویض (NFT) برای دریافت مکرر پاداشها استفاده کرد، بدون اینکه نیازی به انتظار برای پایان دوره پاداش جدید باشد. این پاداشهای اضافی که بخشی از طراحی پروتکل نبودند، باعث تخلیه استخر پاداش شد و 93,000 دلار خسارت به بار آورد. Ramses توسط شرکت امنیتی Yearn Academy در سال 2023 مورد بررسی قرار گرفته بود. SolidityScan اعلام نکرد که آیا این نقص در نسخه بررسی شده وجود داشته یا بعداً اضافه شده است. تیم Ramses اعلام کرد که موجودی کاربران تحت تأثیر قرار نخواهد گرفت.
تحقیقات پلیس هند در مورد کلاهبرداری کریپتو
پلیس در Dhone، هند در حال بررسی ادعاهایی است که یک کلاهبردار کریپتو از حدود 320 نفر در مناطق مختلف کشور کلاهبرداری کرده و بیش از 23 میلیون روپیه (297,000 دلار) از قربانیان به دست آورده است. به گزارش Deccan Chronicle، کلاهبردار ادعا کرده بود که به سرمایهگذارانی که کریپتو نزد او سپردهگذاری کنند، ماهانه 10,000 روپیه (119 دلار) درآمد خواهد داد. متهمان گفتند که او ادعا کرده بود توسط صرافیهای معتبری مانند Binance و OKX پشتیبانی میشود و همچنین نماینده یک شرکت گیاهان دارویی ارگانیک است. پلیس هنوز در حال بررسی این ادعاها است و هیچ پرونده رسمی ثبت نشده است.