Superfortune: Wyciek klucza prywatnego atakującego, a nie zatrucie adresu, nie jest dziełem osoby z wewnątrz

Superfortune, projekt inkubowany przez Manta, opublikował niedawno na platformie X aktualizację dotyczącą incydentu bezpieczeństwa, stwierdzając, że atak nie został przeprowadzony przez personel wewnętrzny i że żaden członek zespołu nie był w niego zaangażowany. Twierdzenia o potajemnej sprzedaży tokenów przez zespół są nieprawdziwe. Zespół nie utrzymywał również żadnych kontaktów z Web3Port.

Dochodzenie potwierdziło, że atak nie wynikał z zatrucia adresu, lecz z wycieku klucza prywatnego sygnatariusza. Atakujący samodzielnie wszedł w posiadanie klucza prywatnego i przesłał transakcję z podrobionym adresem 43 minuty po wykonaniu poprawnej transakcji. Podrobiony adres ma takie same pierwsze i ostatnie cztery znaki jak właściwy adres (zaczyna się od 0x70AE i kończy na 5C15), aby zmylić podgląd w interfejsie Safe. Skradzione środki są w pełni możliwe do wyśledzenia i obecnie znajdują się w trzech portfelach typu cold wallet w sieci Ethereum, zawierających około 2784 ETH oraz około 170 000 USDT, które zostały przesłane za pomocą mostu międzyłańcuchowego.

Atakujący utworzył również dużą liczbę fałszywych adresów i wysyłał na nie błędne zdarzenia transferu, używając symboli tokenów sfałszowanych za pomocą Unicode, próbując w ten sposób utrudnić śledzenie. Ta technika tworzenia fałszywych adresów jest identyczna z metodą użytą podczas ataku na ten projekt. Atakujący przygotował wcześniej infrastrukturę na dużą skalę, co wskazuje, że była to operacja zorganizowana, a nie okazjonalny atak.