Ein Kryptowährungsnutzer hat einen verheerenden Verlust von über 908.000 US-Dollar erlitten, verursacht durch einen ausgeklügelten Phishing-Angriff, der eine ruhende Wallet-Genehmigung ausnutzte, die fast 458 Tage zuvor erteilt worden war. Der Betrug, der der berüchtigten Wallet "pink-drainer.eth" zugeschrieben wird, verdeutlicht die anhaltenden Risiken, die mit vergessenen Smart-Contract-Berechtigungen in der volatilen Welt der digitalen Vermögenswerte verbunden sind.
Das lange Spiel der Krypto-Betrügereien
Bei dem Angriff, der sich am 2. August ereignete, entwendete der Betrüger USDC-Stablecoins im Wert von 908.551 US-Dollar aus der Wallet des Opfers. Dieser Exploit wurde durch eine ERC-20-Genehmigungstransaktion ermöglicht, die das Opfer unwissentlich etwa 458 Tage zuvor unterzeichnet hatte, wahrscheinlich über eine betrügerische Phishing-Website oder einen gefälschten Airdrop. Die bösartige Genehmigung gewährte der Wallet des Betrügers dauerhaften Zugriff auf die Gelder des Opfers.
-
Verzögerter Angriff: Angreifer warten oft Monate, manchmal über ein Jahr, bevor sie zuschlagen, und handeln erst, wenn der Wallet-Kontostand eines Opfers hoch genug ist, um den Diebstahl lohnenswert zu machen.
-
Ausnutzung ruhender Berechtigungen: Der Kern des Angriffs liegt in der Ausnutzung alter, nicht widerrufener Smart-Contract-Genehmigungen, die auf unbestimmte Zeit aktiv bleiben, sofern sie nicht manuell aufgehoben werden.
Wie sich der Angriff entfaltete
Über einen längeren Zeitraum zeigte die kompromittierte Wallet des Opfers minimale Aktivität und hatte wenig Wert, was dem Angreifer keinen unmittelbaren Anreiz zum Handeln bot. Dies änderte sich jedoch Anfang Juli, als das Opfer einen erheblichen Betrag an Geldern in die Wallet einzahlte. Zuerst wurden 762.397 US-Dollar in USDC von einer MetaMask-Wallet übertragen, kurz darauf folgten weitere 146.154 US-Dollar in USDC von einer Kraken-Wallet. Dieser plötzliche Zufluss von fast einer Million Dollar bot dem Betrüger, der die Wallet geduldig überwacht hatte, die perfekte Gelegenheit.
Die stille Bedrohung durch Token-Genehmigungen
Smart-Contract-Genehmigungen sind ein grundlegender Aspekt des dezentralen Finanzwesens (DeFi), der es dezentralen Anwendungen (dApps) ermöglicht, im Namen eines Benutzers zu handeln. Diese Berechtigungen bleiben jedoch bestehen, bis sie explizit widerrufen werden. Viele Benutzer vergessen diese Genehmigungen leider, wodurch ihre Vermögenswerte anfällig für Ausbeutung werden. Sicherheitsexperten warnen immer wieder, dass selbst scheinbar harmlose, alte Genehmigungen von böswilligen Akteuren als Waffe eingesetzt werden können.
Um solche Risiken zu mindern, wird Benutzern dringend empfohlen, unnötige Token-Genehmigungen regelmäßig zu überprüfen und zu widerrufen. Tools wie Etherscan's Token Approval Checker und Debank können Benutzern helfen, diese Berechtigungen zu verwalten. Während der Widerruf von Genehmigungen typischerweise eine Gasgebühr verursacht, sind die Kosten oft vernachlässigbar im Vergleich zu den potenziellen Verlusten durch einen erfolgreichen Phishing-Angriff. Darüber hinaus gibt es einen Standard für ERC-223-Token, der keine Funktionen zur Genehmigung der Mittelverwendung enthält. Die Umstellung von Projekten und der Branche auf den ERC-223-Standard kann die Angriffs- und Geldverlustmöglichkeiten für Benutzer erheblich einschränken.
Ein wachsender Trend in der Krypto-Kriminalität
Dieser Vorfall ist kein Einzelfall, sondern Teil eines breiteren Trends ausgeklügelter Phishing-Angriffe, die auf Kryptowährungsnutzer abzielen. Allein im Juli wurden bei mindestens 17 separaten Angriffen über 142 Millionen US-Dollar gestohlen, was die zunehmende Raffinesse und Verbreitung von Cyberbedrohungen im Bereich der digitalen Vermögenswerte unterstreicht. Der Verlust des Opfers dient allen Krypto-Nutzern als deutliche Mahnung, wachsam zu bleiben, ihre Wallet-Berechtigungen regelmäßig zu überprüfen und äußerste Vorsicht walten zu lassen, wenn sie mit neuen dApps interagieren oder Transaktionsanfragen unterzeichnen.
Quellen
-
Krypto-Opfer verliert 908.551 US-Dollar bei verzögertem Phishing-Angriff, Cointelegraph.
-
908.000 US-Dollar bei Phishing gestohlen, verbunden mit 458 Tage alter Wallet-Genehmigung, Coinfomania.
-
Krypto-Nutzer verliert 908.551 US-Dollar bei 458-Tage-Phishing-Angriff, AInvest.
Dieser Artikel wurde mit Unterstützung KI-gestützter Technologie erstellt und basiert auf mehreren renommierten Quellen. Der endgültige Inhalt wurde von der Redaktion von BlockzHub sorgfältig geprüft und bearbeitet, um Genauigkeit, Klarheit und Kohärenz sicherzustellen. Originalquellen werden, sofern erforderlich und angemessen, entsprechend gewürdigt. Die in diesem Artikel geäußerten Meinungen spiegeln nicht notwendigerweise die offiziellen Ansichten oder Positionen von BlockzHub wider. Dieser Artikel dient ausschließlich Informationszwecken und stellt keine Finanz- oder Fachberatung dar. Investitionen bergen Risiken, und Sie sollten vor Anlageentscheidungen einen qualifizierten Finanzberater konsultieren.