ความเสี่ยงของ vanity address และที่อยู่หน้าตาคล้ายกัน

vanity address หรือที่อยู่วอลเล็ตที่มีรูปแบบที่เลือกไว้ เช่น ชื่อหรืออักขระซ้ำ ๆ มีความเสี่ยงหลักสองประการ ประการแรก หากไพรเวตคีย์ถูกสร้างด้วยเครื่องมือที่อ่อนแอหรือไม่น่าเชื่อถือ คนอื่นอาจสร้างคีย์นั้นขึ้นมาใหม่และขโมยเงินได้ ประการที่สอง มิจฉาชีพใช้เทคนิคเดียวกันในการสร้างที่อยู่หน้าตาคล้ายกันเพื่อหลอกให้คุณส่งคริปโตไปให้พวกเขา ความเสี่ยงทั้งสองล้วนขึ้นอยู่กับว่าที่อยู่ถูกสร้างขึ้นอย่างไร และคุณตรวจสอบที่อยู่อย่างไร

คนส่วนใหญ่แค่เหลือบดูอักขระช่วงต้นและช่วงท้ายไม่กี่ตัวของที่อยู่ ผู้โจมตีรู้เรื่องนี้และออกแบบกลโกงโดยอาศัยนิสัยนี้ การเข้าใจกลไกเบื้องหลังจะช่วยให้คุณหลีกเลี่ยงความสูญเสียทั้งสองแบบได้

vanity address ถูกสร้างขึ้นอย่างไร

ที่อยู่คริปโตได้มาจากพับลิกคีย์ ซึ่งได้มาจากไพรเวตคีย์อีกต่อหนึ่ง คุณไม่สามารถเลือกที่อยู่ได้โดยตรง สิ่งที่ทำได้คือสร้างคีย์แบบสุ่มแล้วตรวจสอบว่าที่อยู่ที่ได้ตรงกับรูปแบบของคุณหรือไม่

1. 1สร้างไพรเวตคีย์แบบสุ่ม
2. 2คำนวณพับลิกคีย์และที่อยู่
3. 3ตรวจสอบว่าที่อยู่ขึ้นต้นหรือลงท้ายด้วยอักขระที่คุณเลือกหรือไม่
4. 4หากไม่ใช่ ให้ทำซ้ำ ซึ่งมักต้องทำหลายพันล้านครั้ง

อักขระที่ต้องการให้ตรงเพิ่มขึ้นแต่ละตัวจะทำให้ปริมาณงานเพิ่มขึ้นหลายเท่า รูปแบบสั้น ๆ จึงหาได้เร็ว ส่วนรูปแบบยาว ๆ ต้องใช้พลังประมวลผลมหาศาล ความปลอดภัยของที่อยู่สุดท้ายขึ้นอยู่กับขั้นตอนที่ 1 ทั้งหมด ไพรเวตคีย์ต้องมาจากความสุ่มที่แข็งแกร่ง เราอธิบายเรื่องนี้โดยละเอียดใน วิธีสังเกตแอปคริปโตปลอมใน App Store

ความเสี่ยงที่ 1: เครื่องมือสร้าง vanity ที่อ่อนแอ

หากเครื่องมือสร้างลัดขั้นตอนเรื่องความสุ่มเพื่อให้ทำงานเร็วขึ้น คีย์ที่ “สุ่ม” อาจมาจากชุดความเป็นไปได้ที่เล็กกว่ามาก ผู้โจมตีที่เข้าใจทางลัดนั้นสามารถค้นหาในชุดที่เล็กกว่านั้นและกู้คืนไพรเวตคีย์ได้

นี่ไม่ใช่แค่ทฤษฎี ในปี 2022 มีการเปิดเผยช่องโหว่ใน Profanity เครื่องมือสร้าง vanity address สำหรับ Ethereum ที่ได้รับความนิยม ซึ่งแสดงให้เห็นว่าคีย์ของมันสามารถถูกเดาแบบ brute force ได้ ต่อมาเงินถูกดูดออกจากที่อยู่ที่สร้างด้วยเครื่องมือนี้ รวมถึงการโจรกรรมที่มีการรายงานอย่างกว้างขวางจากบริษัทเทรด Wintermute ซึ่งเชื่อมโยงกับ vanity address บทเรียนคือ vanity address ปลอดภัยได้เท่ากับโค้ดที่ใช้สร้างมันเท่านั้น

ความเสี่ยงอื่น ๆ ของเครื่องมือสร้าง ได้แก่:

• เครื่องมือสร้างออนไลน์ ที่สร้างคีย์บนเซิร์ฟเวอร์ ซึ่งผู้ให้บริการอาจเก็บสำเนาไว้
• บริการ “แยกคีย์” ที่ทำอย่างไม่ถูกต้อง ซึ่งผู้ให้บริการสามารถประกอบคีย์ของคุณขึ้นมาใหม่ได้
• เครื่องมือที่ไม่มีการดูแล ซึ่งมีบั๊กที่รู้กันอยู่แล้วแต่ไม่มีใครแก้ไข

ความเสี่ยงที่ 2: ที่อยู่หน้าตาคล้ายกันและ address poisoning

มิจฉาชีพใช้การสร้างแบบ vanity เพื่อจุดประสงค์ที่ต่างออกไป นั่นคือการลอกเลียนส่วนที่มองเห็นได้ของที่อยู่ของคุณ

การโจมตีแบบ address poisoning ทำงานดังนี้:

1. 1ผู้โจมตีเฝ้าดูบล็อกเชนเพื่อหาวอลเล็ตที่มีการใช้งานและที่อยู่ที่วอลเล็ตเหล่านั้นโอนไปบ่อย ๆ
2. 2พวกเขาสร้างที่อยู่หน้าตาคล้ายกันที่มีอักขระช่วงต้นและช่วงท้ายไม่กี่ตัวตรงกับที่อยู่หนึ่งในนั้น
3. 3พวกเขาส่งธุรกรรมมูลค่าเป็นศูนย์หรือจำนวนเล็กน้อย หรือการโอนโทเคนปลอม จากที่อยู่หน้าตาคล้ายกันมาให้คุณ เพื่อให้มันปรากฏในประวัติธุรกรรมของคุณ
4. 4ต่อมา คุณคัดลอกที่อยู่จากประวัติเพื่อชำระเงิน แล้วเลือกที่อยู่หน้าตาคล้ายกันโดยไม่ตั้งใจ
5. 5เงินของคุณไปถึงผู้โจมตี และการโอนบนบล็อกเชนย้อนกลับไม่ได้

คู่มือฉบับละเอียดของเราเรื่อง การโจมตีแบบ address poisoning ครอบคลุมกลโกงนี้ในรูปแบบต่าง ๆ

ตัวอย่างผสม (สมมติ)

นี่เป็นตัวอย่างที่แต่งขึ้น ลองนึกภาพ “Leo” ที่ส่งสเตเบิลคอยน์ไปยังที่อยู่ฝากเงินของกระดานเทรดเป็นประจำ ที่อยู่นั้นขึ้นต้นด้วย “0x7a3f” และลงท้ายด้วย “c91e” วันหนึ่ง มีการโอนโทเคนจำนวนศูนย์ปรากฏในประวัติวอลเล็ตของเขา จากที่อยู่ที่ขึ้นต้นด้วย “0x7a3f” และลงท้ายด้วย “c91e” เช่นกัน แต่อักขระตรงกลางต่างกัน หนึ่งสัปดาห์ต่อมา Leo เปิดประวัติ คัดลอกที่อยู่ล่าสุดที่ดูเหมือนตรงกัน ตรวจสอบอักขระสี่ตัวแรกและสี่ตัวสุดท้าย แล้วส่งเงินจำนวนมาก เงินนั้นไปถึงมิจฉาชีพ

รายการตรวจสอบสัญญาณอันตราย

• การโอนมูลค่าเป็นศูนย์หรือการโอนฝุ่น (dust) จากที่อยู่ที่ไม่รู้จักในประวัติของคุณ
• โทเคนที่ไม่รู้จักซึ่ง “ถูกส่ง” มาจากที่อยู่ที่คล้ายกับที่อยู่ที่คุณใช้
• ที่อยู่ที่ตรงกันที่ปลายทั้งสองข้างแต่ต่างกันตรงกลาง
• เว็บไซต์หรือบุคคลที่เสนอจะสร้างที่อยู่แบบกำหนดเอง “ให้คุณ”
• เครื่องมือ vanity ที่ปิดซอร์สโค้ด ไม่มีการดูแล หรือโฆษณาอย่างหนัก
• การกดดันให้รีบส่ง โดยไม่มีเวลาทำธุรกรรมทดสอบ

วิธีป้องกันตัวเอง

คู่มือของเราเรื่อง วิธีตรวจสอบที่อยู่วอลเล็ตก่อนส่ง มีขั้นตอนปฏิบัติทีละขั้น วอลเล็ตบางตัวยังซ่อนหรือติดธงการโอนมูลค่าเป็นศูนย์ด้วย หากมีให้ใช้ ให้เปิดตัวกรองเหล่านั้น

สิ่งที่ควรทำหากเกิดเหตุขึ้นแล้ว

• หากคุณส่งเงินไปยังที่อยู่หน้าตาคล้ายกัน: โดยทั่วไปคุณไม่สามารถย้อนกลับได้ บันทึกแฮชธุรกรรม แจ้งที่อยู่นั้นไปยังผู้ให้บริการวอลเล็ตของคุณและกระดานเทรดที่เกี่ยวข้อง และแจ้งผ่าน หน้าแจ้งกลโกง ของเรา หากเงินไปถึงกระดานเทรด กระดานเทรดนั้นอาจดำเนินการได้
• หาก vanity address ของคุณสร้างด้วยเครื่องมือที่อ่อนแอ: ย้ายเงินทันทีไปยังวอลเล็ตใหม่ที่สร้างด้วยซอฟต์แวร์มาตรฐานที่ผ่านการตรวจสอบอย่างดี จากนั้นเพิกถอนการอนุมัติโทเคนจากที่อยู่เก่า
• หากคุณสงสัยว่าคีย์ของคุณถูกเปิดเผย: ทำตาม สิ่งที่ต้องทำทันทีหากวอลเล็ตของคุณถูกเจาะ

ระวังทุกคนที่ติดต่อมาพร้อมสัญญาว่าจะกู้คืนเงินให้โดยแลกกับค่าธรรมเนียม นั่นเป็นกลโกงซ้ำที่พบได้บ่อย

สรุป

vanity address เป็นเพียงเรื่องหน้าตา แต่ความเสี่ยงเบื้องหลังนั้นมีอยู่จริง เครื่องมือสร้างที่อ่อนแออาจทำให้ไพรเวตคีย์ของคุณรั่วไหล และกลเม็ดการจับคู่รูปแบบแบบเดียวกันก็ทำให้มิจฉาชีพสร้างที่อยู่ที่ดูเหมือนของคุณได้ สร้างคีย์ด้วยซอฟต์แวร์ที่เชื่อถือได้เท่านั้น คัดลอกที่อยู่จากแหล่งที่ยืนยันแล้ว ตรวจสอบสตริงทั้งหมด และใช้ธุรกรรมทดสอบสำหรับจำนวนเงินที่มาก