$24M Pencurian Phishing: Bagaimana seorang Whale Kripto Kehilangan Segalanya Hanya dengan Satu Klik

Hari lain, bencana multimiliar dolar lain dalam crypto. Pada 21 Maret, firma keamanan blockchain CertiK mengungkapkan serangan phishing dari September 2023 yang kini kembali menghantui kita—seorang investor cryptocurrency kehilangan $24 juta dalam ETH yang dipertaruhkan, dan sekarang hacker tersebut sedang aktif mencuci dana yang dicuri melalui Tornado Cash.

Rincian Serangan

Inilah yang terjadi: Korban mengotorisasi transaksi “Increase Allowance”, mengira itu tidak berbahaya. Spoiler alert: itu ternyata berbahaya. Persetujuan tunggal ini memberi penyerang izin untuk memindahkan token ERC-20 sesuka hati. Dua fase mengikuti:

• Fase 1: 9.579 stETH menghilang ( dicuri dari Rocket Pool )
• Fase 2: 4.851 rETH menghilang

Total kerugian: $24 juta hilang dalam hitungan menit.

Jejak Uang

Menurut pelacakan PeckShield, penyerang mengonversi semuanya menjadi 13.785 ETH dan 1,64 juta DAI, kemudian mulai memindahkan dana ke berbagai dompet. Hanya pada 21 Maret, aset curian senilai 3.700 ETH masuk ke Tornado Cash—sebuah mixer yang dirancang untuk menganonimkan transaksi. Buku panduan pencucian uang klasik.

Mengapa Ini Penting Sekarang

Phishing bukan hal baru, tetapi kerusakannya semakin parah. Februari 2024 melihat hampir $47 juta hilang akibat penipuan phishing. Yang lebih mengejutkan? 78% terjadi di Ethereum, dan token ERC-20 menyusun 86% dari dana yang dicuri. Persetujuan token menjadi vektor serangan baru—pada dasarnya, satu klik ceroboh dan selamat tinggal dompet.

Maret telah sangat brutal: kontrak lama Dolomite menguras $1,8 juta dari pengguna yang telah memberikan persetujuan. Domain Layerswap diretas, mengakibatkan 50 pengguna $100K mereka akan mengembalikan dana walaupun (.

Masalah Sebenarnya

Sebagian besar korban bahkan tidak menyadari bahwa mereka telah dikompromikan hingga semuanya terlambat. Tim Scam Sniffer terus memperingatkan: didik diri Anda tentang apa yang sebenarnya “Tingkatkan Izin” berarti. Itu bukan konfirmasi—itu adalah cek kosong. Cabut persetujuan yang tidak terpakai. Verifikasi kontrak sebelum berinteraksi. Periksa kembali URL sebelum menghubungkan dompet.

Komunitas crypto tidak bisa terus-menerus kehilangan ) per bulan akibat serangan yang bisa dicegah. Ini adalah tanggung jawab kita—bursa, dompet, perusahaan keamanan, dan pengguna—untuk lebih pintar tentang hal ini.