Крипто вор направляет $10M украденный ETH в Tornado Cash

Я только что наблюдал за захватывающим ограблением на блокчейне. Какой-то умный хакер перевел $10 миллион ETH в Tornado Cash после того, как осуществил одну из самых хитроумных фишинговых схем 2023 года. Это не была случайная атака - они специально нацелились на крипто-кита и унесли с собой состояние.

21 марта CertiK обнаружил, что 3,700 ETH ( около $10M) были перетасованы в сервисе микширования. Эти средства были частью более крупной $24 -миллионной добычи, украденной в прошлом сентябре. Удивительно, насколько простым и эффективным было нападение - кит попался на старейший трюк в книге: одобрение злонамеренной транзакции.

Жертва нажала "Увеличить лимит" в транзакции, фактически передав нападающему ключи к своему криптоцарству. С этой одной разрешением вор мог тратить ERC-20 токены жертвы по своему усмотрению. Классическая ошибка, катастрофические последствия.

Атака произошла в два этапа: сначала было похищено 9,579 stETH, затем злоумышленник вернулся, чтобы забрать еще 4,851 rETH у той же жертвы. Это просто добавляет масла в огонь! Согласно PeckShield, злоумышленник конвертировал всё в 13,785 ETH и 1,64 миллиона DAI, распределив их по различным кошелькам.

Честно говоря, состояние безопасности в этой области иногда заставляет меня тянуться за волосами. В одном только феврале было потеряно $47 миллионов из-за фишинговых мошенничеств, при этом целых 78% происходило на Ethereum. Почему люди все еще попадаются на эти трюки?

Даже устоявшиеся проекты не застрахованы. Просто посмотрите на Dolomite - их старый контракт был использован для выемки $1.8M у пользователей, которые когда-то предоставили разрешения и забыли о них. Эти эксплоиты одобрения становятся настоящим бедствием.

Не каждая атака оказывается успешной. Layerswap смогли ограничить свои потери до "всего лишь" $100K , когда их сайт был скомпрометирован. Они возвращают деньги пользователям, что с их стороны неплохо, но предотвращение было бы лучше, чем лечение.

Страшная часть? Эти атаки становятся все более сложными, используя те же основные человеческие ошибки. Если вы начинаете заниматься криптовалютой, трижды проверяйте каждое разрешение, которое вы предоставляете. Эти безобидные запросы на разрешение могут быть цифровым эквивалентом того, чтобы передать кому-то свой кошелек.

Вот почему массовое принятие остается сложной задачей - один неверный клик, и ваши сбережения исчезают в Tornado Cash. Дикий запад криптовалюты продолжается, и не все выходят оттуда с золотом.