Superfortune: La filtración de la clave privada del atacante, y no el envenenamiento de direcciones, no es obra de un infiltrado

Superfortune, incubado por Manta, publicó recientemente una actualización en la plataforma X sobre un incidente de seguridad, afirmando que el ataque no fue llevado a cabo por personal interno y que ningún miembro del equipo estuvo involucrado. La afirmación sobre la venta secreta de tokens por parte del equipo es incorrecta. El equipo tampoco ha tenido contacto alguno con Web3Port.

La investigación confirmó que el ataque no se debió a un envenenamiento de direcciones, sino a una filtración de la clave privada del firmante. El atacante poseía la clave privada de forma independiente y envió una transacción con una dirección falsificada 43 minutos después de la transacción correcta. La dirección falsificada comparte los primeros y últimos cuatro caracteres con la dirección correcta (comenzando con 0x70AE y terminando en 5C15) para ocultarse en la vista previa de la interfaz de Safe. Los fondos robados son totalmente rastreables y actualmente se encuentran almacenados en tres billeteras frías en Ethereum, que contienen aproximadamente 2784 ETH, junto con alrededor de 170.000 USDT que fueron transferidos mediante cross-chain.

El atacante también creó una gran cantidad de direcciones falsificadas y envió eventos de transferencia falsos a estas direcciones utilizando símbolos de token falsificados con Unicode en un intento de confundir el rastreo. Esta técnica de construcción de direcciones falsificadas es la misma que se utilizó al atacar este proyecto. El atacante había construido previamente una infraestructura a gran escala, lo que indica que se trató de una operación industrializada y no de un ataque oportunista.