MetaMask заявила, що не надсилала широко поширене ончейн-повідомлення з насмішкою над Jaredfromsubway — оператором MEV-бота в Ethereum, який нещодавно втратив кошти внаслідок атаки типу honeypot.

За словами розробника гаманця, повідомлення надійшло з адреси, прив’язаної до схожого імені Ethereum Name Service (ENS), а не з офіційних адрес компанії. Плутанина оприявнила ваду в тому, як ENS-імена відображаються на більшості платформ.

Як спрацювала підміна ENS-імені

Більшість сервісів перед показом зводять ENS-імена до нижнього регістру. Через це «MetaMask.eth» із великими літерами та справжнє «metamask.eth» виглядають для користувача однаково, хоча ведуть на цілком різні адреси в блокчейні.

З підробленого імені надіслали повідомлення, у якому знецінювалася погроза Jaredfromsubway звернутися до суду: автор стверджував, що позов не встоїть. MetaMask підтвердила в X, що не має до цього повідомлення стосунку.

Що відомо про атаку на бота

Раніше Jaredfromsubway запропонував атакувальнику угоду за схемою white hat — повернути половину коштів протягом 48 годин — і пригрозив судом, якщо гроші не повернуть. Оцінки втрат бота різняться: їх називають у діапазоні від $7,5 млн до $15 млн залежно від методики підрахунку.

Ознак згоди на угоду атакувальник не подає. Ончейн-дані показують, що частина викраденого вже пройшла через Tornado Cash: 2 000 ETH надіслали двадцятьма транзакціями по 100 ETH. Ще 1 422 ETH атакувальник обміняв приблизно на $2,44 млн у DAI — на це вказує блокчейн-аналітик.

Сама історія про злам MEV-бота дістала широкий розголос у DeFi-спільноті, і саме ця помітність зробила інцидент зручною мішенню для тих, хто видає себе за інших.

Слабке місце в системі імен

Стандарт нормалізації ENS переводить усі великі символи в малі, роблячи імена нечутливими до регістру на рівні відображення. Але під час реєстрації різні комбінації регістру все ж різняться. Інакше кажучи, той, хто зареєстрував «MetaMask.eth», володіє технічно коректним ENS-іменем із технічно коректними правами на нього.

ENS не блокує реєстрацію імен, що відрізняються від наявних лише регістром літер. Це дає змогу заздалегідь займати схожі імена й активувати їх у момент гучних подій.

Інцидент укладається в загальну картину: зловмисники раз по раз експлуатують розрив між тим, що показує інтерфейс, і тим, що насправді виконує протокол. Регуляторні зусилля в криптобезпеці зосереджені передусім на криптографічних стандартах, а вразливості рівня відображення лишаються поза їхнім периметром — закривати їх доводиться розробникам і постачальникам гаманців.

Джерело: BeInCrypto