Пользователь криптовалюты понес сокрушительную потерю в размере более 908 000 долларов США из-за изощренной фишинговой атаки, которая использовала бездействующее разрешение кошелька, выданное почти 458 дней назад. Мошенничество, приписываемое печально известному кошельку "pink-drainer.eth", подчеркивает постоянные риски, связанные с забытыми разрешениями смарт-контрактов в изменчивом мире цифровых активов.
Долгая игра криптомошенничества
В результате атаки, произошедшей 2 августа, мошенник вывел из кошелька жертвы стейблкоины USDC на сумму 908 551 доллар США. Эта эксплуатация стала возможной благодаря транзакции одобрения ERC-20, которую жертва неосознанно подписала примерно 458 дней назад, вероятно, через обманный фишинговый веб-сайт или поддельный аирдроп. Вредоносное одобрение предоставило кошельку мошенника постоянное разрешение на доступ к средствам жертвы.
-
Отложенный удар: Злоумышленники часто ждут месяцами, иногда более года, чтобы нанести удар, действуя только тогда, когда баланс кошелька жертвы становится достаточно существенным, чтобы кража стоила усилий.
-
Использование бездействующих разрешений: Суть атаки заключается в использовании старых, неотмененных разрешений смарт-контрактов, которые остаются активными неограниченное время, если не будут отменены вручную.
Как развивалась атака
В течение значительного периода скомпрометированный кошелек жертвы демонстрировал минимальную активность и имел небольшую ценность, не предлагая злоумышленнику немедленного стимула для действий. Однако ситуация изменилась в начале июля, когда жертва внесла значительную сумму средств на кошелек. Сначала 762 397 долларов США в USDC были переведены с кошелька MetaMask, а вскоре после этого еще 146 154 доллара США в USDC — с кошелька Kraken. Этот внезапный приток почти миллиона долларов предоставил идеальную возможность для мошенника, который терпеливо отслеживал кошелек.
Молчаливая угроза одобрений токенов
Одобрения смарт-контрактов являются фундаментальным аспектом децентрализованных финансов (DeFi), позволяя децентрализованным приложениям (dApps) действовать от имени пользователя. Однако эти разрешения сохраняются до тех пор, пока не будут явно отозваны. Многие пользователи, к сожалению, забывают об этих одобрениях, оставляя свои активы уязвимыми для эксплуатации. Эксперты по безопасности постоянно предупреждают, что даже кажущиеся безвредными старые одобрения могут быть использованы злоумышленниками в качестве оружия.
Чтобы снизить такие риски, пользователям настоятельно рекомендуется регулярно проверять и отзывать ненужные одобрения токенов. Такие инструменты, как Etherscan's Token Approval Checker и Debank, могут помочь пользователям управлять этими разрешениями. Хотя отзыв одобрений обычно влечет за собой комиссию за газ, стоимость часто незначительна по сравнению с потенциальными потерями от успешной фишинговой атаки. К тому же существует стандарт токенов ERC-223 который не содержит функций одобрения траты средств. Переход проектов и индустрии на стандарт ERC-223 может существенно сузить векторы атаки и потрери средств для пользователей.
Растущая тенденция в криптопреступности
Этот инцидент не является единичным случаем, а скорее частью более широкой тенденции изощренных фишинговых атак, нацеленных на пользователей криптовалют. Только в июле было украдено более 142 миллионов долларов США в результате как минимум 17 отдельных атак, что подчеркивает растущую изощренность и распространенность киберугроз в пространстве цифровых активов. Потеря жертвы служит суровым напоминанием для всех пользователей криптовалют о необходимости сохранять бдительность, регулярно проверять разрешения своих кошельков и проявлять крайнюю осторожность при взаимодействии с новыми dApps или подписании любых запросов на транзакции.
Источники
-
Жертва криптомошенничества теряет $908 551 в результате отложенной фишинговой атаки, Cointelegraph.
-
908 тысяч долларов украдено в результате фишинга, связанного с одобрением кошелька 458-дневной давности, Coinfomania.
-
Пользователь криптовалюты теряет $908 551 в результате 458-дневной фишинговой атаки, AInvest.
Эта статья была создана с поддержкой технологий, основанных на искусственном интеллекте, с использованием множества авторитетных источников. Финальный контент был тщательно проверен и отредактирован редакционной командой BlockzHub для обеспечения точности, ясности и согласованности. Оригинальные источники информации указаны, когда это необходимо и уместно. Мнения, выраженные в этой статье, не обязательно отражают официальные взгляды или позиции BlockzHub. Эта статья предназначена исключительно для информационных целей и не должна восприниматься как финансовый или профессиональный совет. Инвестирование связано с рисками, и перед принятием инвестиционных решений следует проконсультироваться с квалифицированным финансовым консультантом.