Хакер Funnel $10 Мільйон Фішинг Лут до Tornado Cash

Криптовалютний “кит” став жертвою складної фішингової атаки минулого року, внаслідок чого було несанкціоновано переведено $10 мільйонів вартості Етер до Tornado Cash, відомого сервісу для змішування криптовалют.

21 березня CertiK виявила акаунт, пов'язаний з хакером вересня 2023 року, який викрав $24 мільйонів у жертви. Атака відбулася в два етапи, позбавивши інвестора 9,579 stETH та 4,851 rETH з їхнього сервісу стейкінгу Rocket Pool.

Я завжди вражений тим, як ці атаки успішно проходять через такі прості механізми. У цьому випадку жертва авторизувала транзакцію “Збільшити дозвол” - по суті, надаючи хакеру дозвіл витрачати їхні токени. Це як передати комусь свій гаманець і дивуватися, коли вони беруть ваші гроші.

Криптоспільнота активно обговорює затвердження токенів, і на це є вагома причина. Ці функції смарт-контрактів є подвійними мечами - зручними для легітимних використань, але руйнівними, коли їх експлуатують. Злодій хитро конвертував викрадені активи в 13,785 Етер і 1,64 мільйона Dai, розподіливши їх по різних гаманцях, щоб замаскувати свої сліди.

Статистика за лютий ще більш тривожна - майже $47 мільйон було втрачено через фішингові шахрайства за один місяць! Користувачі Етеру, здається, особливо вразливі, складаючи 78% цих крадіжок. Я не можу не задуматися, чи не робить складність екосистеми Етеру користувачів більш вразливими до цих атак.

Недавнє виведення $1.8 мільйона від користувачів біржі Dolomite через старий контракт ще раз підкреслює небезпеки забутих дозволів. Багато користувачів не усвідомлюють, що ці дозволи тривають безкінечно, якщо їх не скасувати явно.

Не всі атаки повністю успішні - швидка реакція Layerswap обмежила їхнє недавнє порушення до “тільки” 100,000 $ від близько 50 користувачів. Хоча вони пообіцяли повернення коштів і компенсацію, психологічна шкода довірі користувачів залишається.

Ці інциденти виявляють тривожну реальність: незважаючи на роки попереджень, фішинг залишається руйнівно ефективним у криптовалютах. Технічна складність блокчейну різко контрастує з людською вразливістю до соціальної інженерії. Поки ми не подолаємо цю прірву через кращу освіту та інструменти безпеки, мільйони будуть продовжувати надходити до атакувальників, які розуміють, що експлуатація людської довіри часто є простішою, ніж ламати криптографію.