Bir kripto para kullanıcısı, yaklaşık 458 gün önce verilmiş atıl bir cüzdan onayını istismar eden sofistike bir kimlik avı saldırısı nedeniyle 908.000 doların üzerinde yıkıcı bir kayıp yaşadı. Kötü şöhretli "pink-drainer.eth" cüzdanına atfedilen bu dolandırıcılık, dijital varlıkların değişken dünyasında unutulan akıllı sözleşme izinleriyle ilişkili kalıcı riskleri vurgulamaktadır.
Kripto Dolandırıcılıklarının Uzun Oyunu
2 Ağustos'ta meydana gelen saldırıda, dolandırıcı kurbanın cüzdanından 908.551 dolar değerinde USDC stablecoin'i boşalttı. Bu istismar, kurbanın yaklaşık 458 gün önce, muhtemelen aldatıcı bir kimlik avı web sitesi veya sahte bir airdrop aracılığıyla farkında olmadan imzaladığı bir ERC-20 onay işlemi sayesinde mümkün oldu. Kötü niyetli onay, dolandırıcının cüzdanına kurbanın fonlarına sürekli erişim izni vermişti.
-
Gecikmeli Saldırı: Saldırganlar genellikle aylarca, bazen bir yıldan fazla beklerler ve ancak kurbanın cüzdan bakiyesi hırsızlığı değerli kılacak kadar önemli hale geldiğinde harekete geçerler.
-
Atıl İzinleri İstismar Etme: Saldırının özü, manuel olarak iptal edilmedikçe süresiz olarak aktif kalan eski, iptal edilmemiş akıllı sözleşme onaylarını istismar etmektir.
Saldırı Nasıl Gelişti
Uzun bir süre boyunca, kurbanın ele geçirilmiş cüzdanı minimum düzeyde aktivite gösterdi ve çok az değer taşıdı, bu da saldırganın harekete geçmesi için acil bir teşvik sunmuyordu. Ancak bu durum, Temmuz başında kurbanın cüzdana önemli miktarda fon yatırmasıyla değişti. İlk olarak, bir MetaMask cüzdanından 762.397 dolar değerinde USDC transfer edildi, kısa bir süre sonra ise bir Kraken cüzdanından 146.154 dolar değerinde USDC daha geldi. Yaklaşık bir milyon dolarlık bu ani giriş, cüzdanı sabırla izleyen dolandırıcı için mükemmel bir fırsat sağladı.
Token Onaylarının Sessiz Tehdidi
Akıllı sözleşme onayları, merkeziyetsiz finansın (DeFi) temel bir yönüdür ve merkeziyetsiz uygulamaların (dApp'ler) bir kullanıcının adına hareket etmesine olanak tanır. Ancak, bu izinler açıkça iptal edilene kadar devam eder. Birçok kullanıcı, ne yazık ki bu onayları unutur ve varlıklarını istismara açık hale getirir. Güvenlik uzmanları, görünüşte zararsız, eski onayların bile kötü niyetli aktörler tarafından silahlandırılabileceği konusunda sürekli uyarıyor.
Bu tür riskleri azaltmak için, kullanıcıların gereksiz token onaylarını düzenli olarak gözden geçirmeleri ve iptal etmeleri şiddetle tavsiye edilir. Etherscan'ın Token Onay Denetleyicisi ve Debank gibi araçlar, kullanıcıların bu izinleri yönetmelerine yardımcı olabilir. Onayları iptal etmek genellikle bir gas ücreti gerektirse de, maliyet başarılı bir kimlik avı saldırısından kaynaklanabilecek potansiyel kayıplara kıyasla genellikle ihmal edilebilir düzeydedir.
Ayrıca, fon harcamalarını onaylama işlevi içermeyen bir ERC-223 token standardı da mevcuttur. Projelerin ve sektörün ERC-223 standardına geçişi, kullanıcılar için saldırı ve fon kaybı riskini önemli ölçüde azaltabilir.
Kripto Suçlarında Artan Bir Eğilim
Bu olay münferit bir vaka değil, kripto para kullanıcılarını hedef alan sofistike kimlik avı saldırılarının daha geniş bir eğiliminin parçasıdır. Yalnızca Temmuz ayında, en az 17 ayrı saldırıda 142 milyon doların üzerinde para çalındı, bu da dijital varlık alanındaki siber tehditlerin artan karmaşıklığını ve yaygınlığını vurgulamaktadır. Kurbanın kaybı, tüm kripto kullanıcıları için tetikte kalmaları, cüzdan izinlerini düzenli olarak denetlemeleri ve yeni dApp'lerle etkileşimde bulunurken veya herhangi bir işlem talebini imzalarken son derece dikkatli olmaları gerektiği konusunda çarpıcı bir hatırlatıcıdır.
Kaynaklar
-
Kripto Kurbanı Gecikmeli Kimlik Avı Saldırısında 908.551 Dolar Kaybetti, Cointelegraph.
-
458 Günlük Cüzdan Onayına Bağlı Kimlik Avında 908 Bin Dolar Çalındı, Coinfomania.
-
Kripto Kullanıcısı 458 Günlük Kimlik Avı Saldırısında 908.551 Dolar Kaybetti, AInvest.
Bu makale, yapay zeka destekli teknolojinin yardımıyla oluşturulmuş ve birçok güvenilir kaynaktan yararlanılarak hazırlanmıştır. Nihai içerik, doğruluk, açıklık ve tutarlılığı sağlamak amacıyla BlockzHub editör ekibi tarafından titizlikle gözden geçirilmiş ve düzenlenmiştir. Orijinal haber kaynakları, uygun ve gerekli görüldüğünde belirtilmiştir. Bu makalede ifade edilen görüşler, BlockzHub'ın resmi görüş veya pozisyonlarını mutlaka yansıtmaz. Makale yalnızca bilgilendirme amaçlıdır ve finansal veya profesyonel bir tavsiye olarak değerlendirilmemelidir. Yatırım yapmak risk içerir; herhangi bir yatırım kararı vermeden önce nitelikli bir finansal danışmana danışmanız önerilir.