一名加密货币用户因一次复杂的网络钓鱼攻击遭受了超过90.8万美元的毁灭性损失，该攻击利用了近458天前授予的休眠钱包授权。这次诈骗被归咎于臭名昭著的“pink-drainer.eth”钱包，凸显了在波动的数字资产世界中，与被遗忘的智能合约权限相关的持续风险。
加密诈骗的长期策略
这次攻击发生在8月2日，诈骗者从受害者的钱包中盗走了价值908,551美元的USDC稳定币。这次盗窃之所以可能，是因为受害者在大约458天前，可能通过欺骗性钓鱼网站或虚假空投，在不知情的情况下签署了一笔ERC-20授权交易。恶意授权赋予了诈骗者的钱包持续访问受害者资金的权限。
-
延迟攻击：攻击者通常会等待数月，有时甚至超过一年才发动攻击，只有当受害者的钱包余额足够可观，使得盗窃有利可图时才会行动。
-
利用休眠权限：攻击的核心在于利用旧的、未撤销的智能合约授权，这些授权除非手动取消，否则会无限期保持活跃。
攻击如何展开
在相当长的一段时间内，受害者被盗用的钱包活动极少，价值也很低，没有给攻击者提供立即行动的动机。然而，这种情况在7月初发生了变化，当时受害者向钱包存入了大量资金。首先，762,397美元的USDC从一个MetaMask钱包转入，紧接着又有146,154美元的USDC从一个Kraken钱包转入。这笔近百万美元的突然涌入，为一直耐心监控该钱包的诈骗者提供了绝佳的机会。
代币授权的无声威胁
智能合约授权是去中心化金融（DeFi）的一个基本方面，它允许去中心化应用程序（dApps）代表用户行事。然而，这些权限会一直存在，直到被明确撤销。不幸的是，许多用户会忘记这些授权，从而使他们的资产容易受到利用。安全专家一直警告说，即使是看似无害的旧授权，也可能被恶意行为者武器化。
为了减轻此类风险，强烈建议用户定期审查并撤销不必要的代币授权。Etherscan的代币授权检查器和Debank等工具可以帮助用户管理这些权限。虽然撤销授权通常会产生一笔Gas费，但与成功钓鱼攻击可能造成的潜在损失相比，这笔费用通常可以忽略不计。此外，ERC-223 代币标准不包含批准资金支出的功能。项目和行业向 ERC-223 标准的过渡可以显著减少用户遭受攻击和资金损失的风险。
加密犯罪日益增长的趋势
这起事件并非孤立事件，而是针对加密货币用户的复杂网络钓鱼攻击更广泛趋势的一部分。仅在7月份，就有超过1.42亿美元在至少17起独立攻击中被盗，这凸显了数字资产领域网络威胁日益复杂和普遍。受害者的损失为所有加密用户敲响了警钟，提醒他们保持警惕，定期审计钱包权限，并在与新的dApps交互或签署任何交易请求时，务必格外小心。
来源
-
加密受害者在延迟钓鱼攻击中损失908,551美元, Cointelegraph.
-
与458天前钱包授权相关的钓鱼攻击盗走90.8万美元, Coinfomania.
-
以太坊用户因458天前的授权在延迟钓鱼攻击中损失908,551美元, AInvest.
-
加密用户在458天钓鱼攻击中损失908,551美元, AInvest.
本文借助人工智能技术支持，参考多个权威来源编写而成。最终内容已由BlockzHub编辑团队进行全面审查和编辑，以确保准确性、清晰度和连贯性。原始报道来源在适当且必要时均予以注明。本文中表达的观点不一定代表BlockzHub的官方立场或观点。本文仅供信息参考，不应被视为财务或专业建议。投资涉及风险，在做出任何投资决策之前，您应咨询合格的财务顾问。