MetaMask ha smentito di aver inviato un messaggio on-chain ampiamente condiviso che sembrava prendere in giro Jaredfromsubway, l’operatore MEV su Ethereum recentemente derubato di 15 milioni di dollari in un exploit honeypot.
Il provider del wallet ha chiarito che il messaggio proveniva da un nome dell’Ethereum Name Service (ENS) molto simile, e non da alcun suo indirizzo ufficiale. Questa confusione ha messo in luce una falla di design nel modo in cui i nomi ENS vengono visualizzati sulla maggior parte delle piattaforme.
Impersonificazione ENS dietro la confusione del nome MetaMask
La maggior parte delle piattaforme converte i nomi ENS in minuscolo prima di mostrarli. Questa convenzione nasconde una differenza cruciale. “MetaMask.eth” con lettere maiuscole e il vero “metamask.eth” appaiono identici alla maggior parte degli utenti. Tuttavia, i due nomi puntano a indirizzi completamente diversi on-chain.
Il nome falsificato ha respinto la minaccia legale di Jaredfromsubway, sostenendo che la causa legale non avrebbe avuto valore in tribunale. MetaMask ha anche confermato su X di non essere coinvolta nel messaggio.
MetaMask chiarisce il proprio ruolo dopo l’exploit contro Jaredfromsubway
Jaredfromsubway aveva già offerto all’attaccante un accordo white hat del 50% con una scadenza di 48 ore. Ha minacciato azioni legali se i fondi non fossero stati restituiti. La storia del drain dell’MEV bot su Ethereum ha attirato grande attenzione nella community DeFi. Questa visibilità ha reso l’incidente un obiettivo di alto valore per chi vuole impersonificare altri utenti.
L’attaccante non ha dato segni di voler accettare la proposta. I dati on-chain mostrano che 5,1 milioni di dollari dei 7,5 milioni sottratti sono già stati spostati su Tornado Cash. I fondi sono stati inviati come 2.000 ETH, suddivisi in 20 transazioni da 100 ETH ciascuna. L’attaccante ha anche scambiato i restanti 1.422 ETH per 2,44 milioni di DAI, secondo quanto segnalato da un analista blockchain.
L’exploit honeypot dell’MEV bot ha sollevato nuove domande sui rischi che le operatrici MEV affrontano in un ambiente competitivo. Tuttavia, l’impersonificazione di MetaMask introduce una preoccupazione separata, indipendente dalle dinamiche MEV. Si tratta di una vulnerabilità del sistema dei nomi che può colpire qualsiasi utente Ethereum.
Il gap di design di ENS espone gli utenti Ethereum
I nomi ENS seguono uno standard di normalizzazione che converte tutte le lettere maiuscole in minuscole. Questo processo rende i nomi insensibili alle maiuscole a livello di visualizzazione, ma nelle registrazioni resta la distinzione tra diverse combinazioni di lettere. Così, chi ha registrato “MetaMask.eth” ha un nome ENS tecnicamente valido con un diritto altrettanto valido.
ENS non blocca la registrazione di nomi che si differenziano da altri esistenti solo per le maiuscole. Attori malevoli possono registrare in anticipo questi nomi simili e attivarli in momenti di grande attenzione pubblica. L’onda di hack nel settore crypto avvenuta a giugno ha già mostrato schemi di ingegneria sociale simili legati a incidenti pubblici.
Uno schema ricorrente nella sicurezza DeFi
Nel frattempo, gli sforzi di sicurezza crypto a livello esecutivo si concentrano soprattutto sugli standard crittografici. Le vulnerabilità dei nomi a livello di visualizzazione restano in gran parte fuori da questa cornice normativa, lasciando un vuoto che sviluppatori e fornitori di wallet devono coprire autonomamente.
L’incidente MetaMask si inserisce in uno schema riconoscibile in tutta la DeFi. Gli attaccanti sfruttano costantemente il divario tra ciò che le interfacce mostrano e ciò che i protocolli eseguono effettivamente. Le perdite dei protocolli di lending DeFi riflettono questa stessa dinamica a livello strutturale. Finché il settore non colmerà queste lacune, le impersonificazioni a livello di visualizzazione resteranno un vettore di attacco a basso costo e ad alto rendimento.
