Хакер Funnels $10 Миллион Фишинг Лут к Tornado Cash

Криптовалютный “кит” стал жертвой сложной фишинговой атаки в прошлом году, в результате которой была осуществлена несанкционированная передача $10 миллионов Эфира в Tornado Cash, известный сервис микширования криптовалют.

21 марта CertiK обнаружила аккаунт, связанный с хакерской атакой сентября 2023 года, которая похитила $24 миллионов у жертвы. Атака разв unfolded в два этапа, лишив инвестора 9,579 stETH и 4,851 rETH от их сервиса стекинга Rocket Pool.

Мне всегда удивительно, как такие атаки проходят через такие простые механизмы. В данном случае жертва авторизовала транзакцию “Увеличить разрешение” - по сути, дав хакеру разрешение тратить свои токены. Это все равно что отдать кому-то свой кошелек и удивляться, когда они забирают твои деньги.

Криптосообщество активно обсуждает одобрение токенов, и на то есть веские причины. Эти функции смарт-контрактов представляют собой двусторонние мечи - удобные для законного использования, но разрушительные при эксплуатации. Злоумышленник хитро преобразовал украденные активы в 13,785 Эфир и 1,64 миллиона Dai, распределив их по различным кошелькам, чтобы скрыть свои следы.

Статистика февраля еще более тревожная - почти $47 миллионов потеряно из-за фишинг-мошенничеств всего за один месяц! Пользователи Эфира, похоже, особенно уязвимы, составляя 78% этих краж. Я не могу не задаться вопросом, не делает ли сложность экосистемы Эфира пользователей более подверженными этим атакам.

Недавняя утечка $1.8 миллиона от пользователей биржи Dolomite через старый контракт еще раз подчеркивает опасности забытых разрешений. Многие пользователи не осознают, что эти разрешения сохраняются навсегда, если они не были явно отозваны.

Не все атаки полностью успешны - быстрая реакция Layerswap ограничила их недавнее нарушение “только” до 100 000 $ от примерно 50 пользователей. Хотя они пообещали возвраты и компенсации, психологический ущерб для доверия пользователей остается.

Эти инциденты выявляют тревожную реальность: несмотря на годы предупреждений, фишинг по-прежнему разрушительно эффективен в криптовалюте. Техническая сложность блокчейна резко контрастирует с человеческой уязвимостью к социальным атакам. Пока мы не преодолеем этот разрыв с помощью лучшего образования и средств безопасности, миллионы будут продолжать поступать к злоумышленникам, которые понимают, что эксплуатировать человеческое доверие часто легче, чем нарушить криптографию.