Kripto Hırsızı $10M Çalınan ETH'yi Tornado Cash'e Yönlendiriyor

Blockchain'da büyüleyici bir soygun izledim. Bazı zeki bir hacker, 2023'ün en dikkat çekici kimlik avı dolandırıcılığını gerçekleştirdikten sonra $10 milyon değerinde ETH'yi Tornado Cash'e taşıdı. Bu rastgele bir saldırı değildi - özellikle bir kripto balinasını hedef aldılar ve büyük bir servetle kaçtılar.

21 Mart'ta, CertiK 3,700 ETH ( yaklaşık $10M) miktarında fonun karıştırıcı hizmetine aktarıldığını tespit etti. Bu fonlar, geçen Eylül ayında çalınan daha büyük bir $24 milyonluk yükün parçasıydı. Dikkat çekici olan, saldırının ne kadar basit ama etkili olduğuydu - balina, kitabın en eski numarasına düştü: kötü niyetli bir işlemi onaylamak.

Mağdur, bir işlemde "İzinleri Artır" butonuna tıkladı ve temelde saldırgana kripto krallığının anahtarlarını verdi. Bu tek izinle, hırsız mağdurun ERC-20 token'larını dilediği gibi harcayabilirdi. Klasik bir hata, felaket sonuçlar.

Saldırı iki dalga halinde gerçekleşti, ilk olarak 9,579 stETH çalındı, ardından aynı kurbandan başka 4,851 rETH almak için geri dönüldü. Hakikaten yaraya tuz bastırmak gibi! PeckShield'e göre, saldırgan her şeyi 13,785 ETH ve 1.64 milyon DAI'ye dönüştürdü ve bunu çeşitli cüzdanlara yaydı.

Açıkçası, bu alandaki güvenlik durumu bazen saçımı yolmama sebep oluyor. Şubat ayında $47 milyonun dolandırıcılık saldırılarıyla kaybedildiği görüldü ve bunun %78'i Ethereum üzerinde gerçekleşti. İnsanlar neden hala bu numaralara düşüyor?

Köklü projeler bile bağışık değil. Sadece Dolomite'e bakın - eski sözleşmeleri, yıllar önce izin vermiş ve unutmamış kullanıcılarından 1.8M $'lık bir saldırıya maruz kaldı. Bu onay istismarları gerçek bir bela haline geliyor.

Her saldırı başarılı olmuyor. Layerswap, siteleri tehlikeye girdiğinde hasarlarını "sadece" $100K ile sınırlamayı başardı. Kullanıcılara geri ödeme yapıyorlar, bu onların açısından güzel, ama önlem almak tedaviden daha iyi olurdu.

Korkutucu olan? Bu saldırılar, aynı temel insan hatalarını kullanarak daha karmaşık hale geliyor. Kripto ile uğraşıyorsanız, verdiğiniz her onayı üç kez kontrol edin. O masum görünen izin talepleri, birine cüzdanınızı vermenin dijital eşdeğeri olabilir.

Bu, ana akım benimsenmenin neden bu kadar zor olduğunun tam olarak kendisidir - bir yanlış tıklama ve yaşam tasarruflarınız Tornado Cash'e gider. Kriptonun vahşi batısı devam ediyor ve herkes altınlarıyla çıkamıyor.