ChainCatcher 메시지에 따르면, 공식 소식으로 보안 회사 GoPlus가 "신형 예측 주소 공격" 경고를 발표했습니다. 공격자는 create2의 특성을 이용해 계약이 배포될 공백 주소를 미리 계산한 후, 사용자에게 권한을 속여 부여받습니다. 공백 주소는 보안 회사의 블랙리스트와 보안 모니터링을 우회할 수 있기 때문에, 사용자가 권한을 부여하면 공격자는 이 주소에 계약을 배포하고 사용자의 자산을 빼돌릴 수 있습니다.또한, 이 공격은 다음과 같은 공격 특성을 가지고 있습니다:create2는 계약 주소를 예측하여 생성할 수 있는 배포 방식으로, 공격자는 먼저 권한을 속여 부여받고 계약을 배포할 수 있습니다.권한 부여가 발생할 때 계약이 배포되지 않기 때문에 공격 주소는 공백 EOA 주소로, 어떤 탐지 도구에도 포함되지 않아 매우 높은 은폐성을 가집니다.GoPlus는 출처에서 피싱 공격에 주의하고, 자주 사용하는 프로토콜 웹사이트를 기억하거나 브라우저 북마크를 사용해 공식 웹사이트를 관리할 것을 권장합니다. 또한 서명 권한 부여 시 권한 대상이 공백(EOA) 주소인지 주의 깊게 확인해야 하며, 큰 위험이 존재할 수 있습니다.

ChainCatcher 메시지에 따르면, Scam Sniffer는 소셜 플랫폼에 게시하여 Wallet Drainer가 각 악성 서명을 위해 새로운 주소를 생성하여 Create2를 남용하고 일부 지갑의 보안 경고를 우회한다고 밝혔습니다.알려진 바에 따르면, CREATE2 연산자는 사용자가 계약을 이더리움 네트워크에 배포하기 전에 그 주소를 예측할 수 있게 해줍니다. Uniswap은 CREATE2를 사용하여 Pair 계약을 생성합니다.Create2를 사용하면 Drainer는 각 악성 서명에 대해 임시의 새로운 주소를 쉽게 생성할 수 있습니다. 피해자가 서명을 한 후, Drainer는 해당 주소에서 계약을 생성하고 사용자의 자산을 이전합니다. 그 동기는 지갑 보안 검사를 우회하는 것입니다.지난 6개월 동안 이러한 Drainer는 약 99,000명의 피해자로부터 거의 6,000만 달러를 탈취했습니다. 8월 이후, 한 조직은 Address Poisoning에서 동일한 기술을 사용하여 11명의 피해자로부터 연속적으로 거의 300만 달러의 자산을 탈취했으며, 그 중 한 피해자는 최대 160만 달러를 잃었습니다.느낌의 창립자 유선은 이에 대해 "이 피싱 기술은 가능하다. Create2를 사용하여 자금 수신 주소를 미리 생성하면(피싱이 성공해야만 생성되며, 계약 주소여야 한다. 그렇지 않으면 이 주소는 아무것도 없다), 많은 지갑의 보안 검출 메커니즘을 우회할 수 있다. 어떤 지갑이 즉시 따라가서 강화할 수 있는지 살펴보자."라고 말했습니다.