Gli esperti avvertono: la vulnerabilità del portafoglio Tron consente agli aggressori di prendere il controllo

I ricercatori della società di sicurezza AMLBot hanno avvertito di una vulnerabilità all’interno wallet per crypto Tron che potrebbe consentire agli attori malintenzionati di svuotare gli asset crittografici di milioni di utenti.

In un recente rapporto, la società di sicurezza ha avvisato gli utenti wallet per crypto Tron che gli aggressori stavano sfruttando una vulnerabilità derivante dalla funzione UpdateAccountPermission, che consente loro di trasferire il controllo di un wallet per crypto senza la conoscenza del proprietario.

Gli aggressori possono quindi aggiungere la loro chiave al portafoglio, configurarla per soddisfare i limiti di transazione e bloccare le transazioni in uscita legittime.

Le vittime vengono anche escluse dai propri portafogli e possono continuare a depositare fondi senza rendersene conto, arricchendo gli aggressori.

Secondo AMLBot, queste vulnerabilità hanno portato ad attacchi su circa 2.130 portafogli solo nel quarto trimestre del 2024.

Cos’è la funzione UpdateAccountPermission?

Per i portafogli Tron, la funzione UpdateAccountPermission è una funzionalità di sicurezza progettata per migliorare il controllo dell’account, consentendo agli utenti di assegnare ruoli specifici alle chiavi, definire valori di peso per ogni chiave e impostare soglie di transazione.

Ciò è utile per casi d’uso come la gestione di portafogli condivisi, in cui più parti possono supervisionare e approvare le transazioni, e la governance decentralizzata, che consente agli account controllati dalla comunità di richiedere approvazioni multifirma per accedere ai fondi.

Inoltre, offre vantaggi agli utenti consentendo loro di assegnare più chiavi ai propri portafogli, riducendo così i rischi di perdere l’accesso a causa di una singola chiave compromessa.

Tuttavia, se sfruttata, questa funzionalità può essere utilizzata in modo improprio dagli aggressori per ottenere il controllo dei portafogli.

In genere ciò accade quando un aggressore ottiene l’accesso a una chiave privata compromessa tramite, secondo AMLBot.

In questo modo, l’attaccante può aggiungere la propria chiave e bloccare l’utente originale.

Ciò è particolarmente rischioso perché gli utenti non vengono avvisati quando viene aggiunta una chiave e i ricercatori affermano che l’unico modo in cui un utente si rende conto che il suo portafoglio è stato compromesso è quando tenta di trasferire fondi.

Inoltre, dopo il compromesso, le possibilità di ricorso sono limitate, poiché è necessaria la chiave privata dell’attaccante per autorizzare qualsiasi transazione futura.

Senza accesso a questa chiave, le vittime non possono riprendere il controllo dei propri portafogli o recuperare i fondi bloccati.

Di conseguenza, l’unica azione immediata che gli utenti possono intraprendere è quella di interrompere il deposito di fondi nel portafoglio compromesso per evitare ulteriori perdite.

AMLBot ha stimato che circa 14.545 utenti fossero a rischio a causa di questa vulnerabilità.

I truffatori continuano a rubare miliardi

Secondo un rapporto della società di sicurezza blockchain CertiK, le perdite dovute a attacchi informatici e truffe hanno superato i 2,3 miliardi di dollari nel settore delle criptovalute nel 2024.

Le chiavi private compromesse sono state una delle principali cause delle perdite dell’anno e tali attacchi sono aumentati del 75% rispetto al 2023.

È noto che i truffatori utilizzano malware e complesse tattiche di phishing per ottenere l’accesso alle chiavi degli utenti.

Gli esperti consigliano di conservare in modo sicuro le chiavi private ed evitare di condividere informazioni sensibili online per ridurre al minimo le perdite.

Raccomandano inoltre di controllare regolarmente le autorizzazioni dell’account come misura di sicurezza aggiuntiva.