¿Sabías que cualquier persona puede realizar una transacción desde tu billetera conociendo únicamente la dirección de la billetera y sin necesidad de la clave o frase secreta de la billetera?Existe un tipo de ataque conocido como Zero Transfer Phishing que es considerado uno de los peores phishing. ataques en el campo cripto por la facilidad de hacerlo por parte del atacante, y la facilidad de caer en él por parte de la víctima. Este ataque actualmente tiene como objetivo millones de cripto billeteras en diferentes redes. ¿Cómo se lleva a cabo este ataque? ¿Cómo puede protegerse de esto? Primero, hay una función en la máquina virtual Ethereum (EVM) llamada transferFrom(). Esta función permite transacciones desde su billetera a otra billetera a través de un tercero. Esto significa que un tercero, como Como contrato inteligente, puede retirar dinero de su billetera a través de esta función. Siempre que se obtenga la aprobación previa de la billetera, esta función tiene muchos usos, incluidas las transacciones de cambio de moneda "Swap" a través de plataformas descentralizadas, ya que permite que el contrato inteligente retire un saldo de X moneda de su billetera; A cambio de obtener un saldo de moneda Y. Esta función se utiliza en otras redes como BNB Chain, Tron y otras. Pero al mismo tiempo; Esta función permite a cualquier persona realizar una transacción desde la billetera de otra persona sin su permiso si el monto de la transacción es 0. ¿Cuál es el propósito de esto si la transferencia no tiene valor? El objetivo es envenenar el historial de transferencias de la billetera para engañar al propietario de la billetera para que haga una transferencia a la billetera del atacante, lo que se denomina ataque de dirección. Envenenamiento.¿Cómo ocurre este ataque? En primer lugar, el atacante busca direcciones activas a través de la cadena de bloques, y las billeteras activas a menudo son el objetivo de transferencias de moneda estable. En segundo lugar, el atacante crea direcciones de billetera cuyo comienzo y final son idénticos a las direcciones del objetivo. víctimas. ¿Cómo sucede esto? ¿Y las direcciones de billetera se generan de manera aleatoria? De hecho, cualquiera puede generar una dirección de billetera bajo ciertas condiciones. En este ejemplo, la condición es que la dirección de la billetera comience y termine con las mismas letras y números que las direcciones de las billeteras de las víctimas objetivo, y esta dirección se llama Vanity Address. En tercer lugar, el atacante explota la función transferFrom() para transportar realizar una transacción por valor de 0 hacia o desde las billeteras de las víctimas. Esta función llama a otra función llamada transfer(), que se encarga de realizar las transferencias, pero lo más importante que hace es registrar la transacción en el registro de transacciones de la billetera, el atacante comienza a monitorear las direcciones para esperar a que se transfieran antes de realizar el ataque. , o ataca aleatoriamente. Ejemplo: En esta transacción, la víctima transfirió los primeros 10 USDC de su billetera a una dirección que comienza con 0x74C y termina con 0E1cA como prueba para asegurarse de que no hubo problemas antes de realizar la transferencia más grande. Dos minutos Más tarde, el atacante llevó a cabo su ataque explotando la función transferFrom() para realizar transferencias de 0 desde la billetera de la víctima, para envenenar el historial de transferencias y poner la dirección de su billetera falsa similar a la dirección correcta a la que la víctima transfirió 10 USDC. Puedes ver la diferencia entre la mitad de la dirección original y la falsa. ¿El resultado? La víctima verificó la última dirección a la que transfirió (la dirección falsa) verificando solo el principio y el final de la dirección, y luego transfirió más de 2 millones de dólares a la dirección de la billetera del atacante debido a este simple error. A pesar de la ingenuidad del error; La mayoría de los usuarios de criptomonedas cometen el mismo error y verifican las direcciones de transferencia comprobando solo el primer y el último carácter. Por supuesto, el atacante transfirió inmediatamente los fondos a UniSwap para lavarlos y evitar cualquier posibilidad de que Circle congele la dirección de su billetera. Actualmente, hay millones de direcciones en la cadena de bloques Ethereum y en la cadena de bloques BNB que han sido blanco de este tipo de ataques, y este número aumenta constantemente, por lo que te aconsejo que tengas mucho cuidado con estos ataques. Puedes seguir las estadísticas en ataques a través de Zero Transfer Phishing. Lo que puede aprender de: 1- Siempre verifique la dirección completa antes de realizar la transferencia, y no solo el principio y el final de la dirección. 2- No transfiera grandes cantidades en una sola transacción. 3- Si encuentra transferencias valor 0$ enviado desde su billetera, no se preocupe, la billetera no ha sido pirateada.