Un utente di criptovalute ha subito una perdita devastante di oltre $908.000 a causa di un sofisticato attacco di phishing che ha sfruttato un'approvazione di wallet dormiente concessa quasi 458 giorni prima. La truffa, attribuita al famigerato wallet "pink-drainer.eth", evidenzia i rischi persistenti associati ai permessi di smart contract dimenticati nel volatile mondo degli asset digitali.
Il Lungo Gioco delle Truffe Cripto
L'attacco, avvenuto il 2 agosto, ha visto il truffatore prosciugare $908.551 in stablecoin USDC dal wallet della vittima. Questo exploit è stato reso possibile da una transazione di approvazione ERC-20 che la vittima aveva inconsapevolmente firmato circa 458 giorni prima, probabilmente tramite un sito web di phishing ingannevole o un airdrop falso. L'approvazione malevola ha concesso al wallet del truffatore un permesso continuo di accedere ai fondi della vittima.
-
Colpo Ritardato: Gli attaccanti spesso aspettano mesi, a volte più di un anno, per colpire, agendo solo quando il saldo del wallet di una vittima diventa sufficientemente consistente da rendere il furto profittevole.
-
Sfruttamento di Permessi Dormienti: Il fulcro dell'attacco risiede nello sfruttamento di vecchie approvazioni di smart contract non revocate che rimangono attive indefinitamente a meno che non vengano annullate manualmente.
Come si è Svolto l'Attacco
Per un periodo significativo, il wallet compromesso della vittima ha mostrato un'attività minima e conteneva poco valore, non offrendo alcun incentivo immediato all'attaccante per agire. Tuttavia, questo è cambiato all'inizio di luglio quando la vittima ha depositato una quantità sostanziale di fondi nel wallet. Inizialmente, $762.397 in USDC sono stati trasferiti da un wallet MetaMask, seguiti poco dopo da altri $146.154 in USDC da un wallet Kraken. Questo improvviso afflusso di quasi un milione di dollari ha fornito l'opportunità perfetta per il truffatore, che aveva monitorato pazientemente il wallet.
La Minaccia Silenziosa delle Approvazioni di Token
Le approvazioni di smart contract sono un aspetto fondamentale della finanza decentralizzata (DeFi), consentendo alle applicazioni decentralizzate (dApp) di agire per conto di un utente. Tuttavia, questi permessi persistono fino a quando non vengono esplicitamente revocati. Molti utenti, sfortunatamente, dimenticano queste approvazioni, lasciando i loro asset vulnerabili allo sfruttamento. Gli esperti di sicurezza avvertono costantemente che anche approvazioni vecchie e apparentemente innocue possono essere trasformate in armi da attori malevoli.
Per mitigare tali rischi, si consiglia vivamente agli utenti di rivedere e revocare regolarmente le approvazioni di token non necessarie. Strumenti come Etherscan's Token Approval Checker e Debank possono aiutare gli utenti a gestire questi permessi. Sebbene la revoca delle approvazioni comporti tipicamente una commissione di gas, il costo è spesso trascurabile rispetto alle potenziali perdite derivanti da un attacco di phishing riuscito. Inoltre, esiste uno standard di token ERC-223 che non contiene funzioni per l'approvazione della spesa di fondi. La transizione dei progetti e del settore allo standard ERC-223 può ridurre significativamente i vettori di attacco e la perdita di fondi per gli utenti.
Una Tendenza in Crescita nel Crimine Cripto
Questo incidente non è un evento isolato, ma piuttosto parte di una tendenza più ampia di sofisticati attacchi di phishing che prendono di mira gli utenti di criptovalute. Solo a luglio, oltre $142 milioni sono stati rubati in almeno 17 attacchi separati, sottolineando la crescente sofisticazione e prevalenza delle minacce informatiche nello spazio degli asset digitali. La perdita della vittima serve come un duro monito per tutti gli utenti di criptovalute a rimanere vigili, a controllare regolarmente i permessi del proprio wallet e a esercitare estrema cautela quando interagiscono con nuove dApp o firmano qualsiasi richiesta di transazione.
Fonti
-
Vittima di Criptovalute Perde $908.551 in un Attacco di Phishing Ritardato, Cointelegraph.
-
$908K Rubati in Phishing Legato a un'Approvazione di Wallet di 458 Giorni, Coinfomania.
-
Utente Cripto Perde $908.551 in un Attacco di Phishing di 458 Giorni, AInvest.
Questo articolo è stato creato con il supporto di una tecnologia basata sull'intelligenza artificiale, attingendo a molteplici fonti affidabili. Il contenuto finale è stato accuratamente revisionato e modificato dal team editoriale di BlockzHub per garantire accuratezza, chiarezza e coerenza. Le fonti originali delle informazioni vengono citate ove appropriato e necessario. Le opinioni espresse in questo articolo non rappresentano necessariamente le posizioni o i punti di vista ufficiali di BlockzHub. Questo articolo ha esclusivamente scopo informativo e non deve essere considerato come consulenza finanziaria o professionale. Investire comporta dei rischi ed è consigliabile consultare un consulente finanziario qualificato prima di prendere qualsiasi decisione di investimento.