Superfortune : la fuite de la clé privée de l'attaquant, et non un empoisonnement d'adresse, n'est pas le fait d'un initié

Superfortune, incubé par Manta, a récemment publié une mise à jour sur la plateforme X concernant un incident de sécurité, déclarant que l'attaque n'a pas été menée par du personnel interne et qu'aucun membre de l'équipe n'est impliqué. L'allégation selon laquelle l'équipe aurait secrètement vendu des jetons est inexacte. L'équipe n'a également eu aucun contact avec Web3Port.

L'enquête a confirmé que l'attaque n'était pas due à un empoisonnement d'adresse, mais plutôt à une fuite de la clé privée du signataire. L'attaquant détenait indépendamment la clé privée et a soumis une transaction avec une adresse contrefaite 43 minutes après la transaction correcte. L'adresse contrefaite partage les quatre premiers et derniers caractères avec l'adresse correcte (commençant par 0x70AE et se terminant par 5C15) afin de se dissimuler dans l'aperçu de l'interface Safe. Les fonds volés sont entièrement traçables et sont actuellement stockés dans trois portefeuilles froids sur Ethereum, contenant environ 2784 ETH, ainsi qu'environ 170 000 USDT transférés via un pont inter-chaînes.

L'attaquant a également créé un grand nombre d'adresses contrefaites et a envoyé de faux événements de transfert vers ces adresses en utilisant des symboles de jetons forgés en Unicode pour tenter de brouiller les pistes. Cette technique de création d'adresses contrefaites est identique à la méthode utilisée lors de l'attaque contre ce projet. L'attaquant avait pré-construit une infrastructure à grande échelle, ce qui indique qu'il s'agissait d'une opération industrialisée plutôt que d'une attaque opportuniste.