$24M 網絡釣魚劫案：一只加密貨幣巨鯨如何通過一次點擊失去一切

又是一天，又是一起數百萬美元的加密災難。3月21日，區塊鏈安全公司CertiK揭露了一起來自2023年9月的釣魚攻擊，這次攻擊再次困擾我們——一位加密貨幣投資者在質押姨太中損失了$24 百萬，現在黑客正在通過Tornado Cash積極洗錢。

攻擊分析

事情是這樣的：受害者授權了一筆“增加額度”的交易，以爲這無害。劇透：並不是。這項單一的批準使攻擊者能夠隨意移動ERC-20代幣。接下來有兩個階段：

• 第一階段：9,579 stETH 消失 (從 Rocket Pool 被盜)
• 第二階段：4,851 rETH 消失了

總損失：$24 百萬在幾分鍾內消失。

錢的蹤跡

根據PeckShield的追蹤，攻擊者將所有資產轉換爲13,785姨太和164萬DAI，然後開始在多個錢包之間轉移資金。僅在3月21日，價值3,700姨太的被盜資產就進入了Tornado Cash——一個旨在匿名化交易的混合器。這是經典的洗錢操作。

爲什麼這現在很重要

網絡釣魚並不新鮮，但損害正在加劇。2024年2月，幾乎有$47 百萬因網絡釣魚詐騙而損失。更糟糕的是？78%的損失發生在姨太上，而ERC-20代幣佔被盜資金的86%。代幣授權正成爲新的攻擊方式——基本上，一次不小心的點擊就能讓錢包告別。

三月非常殘酷：Dolomite的舊合同從授予批準的用戶那裏抽走了180萬美元。Layerswap的域名被黑客攻擊，導致50名用戶損失$100K 他們正在退款(。

真正的問題

大多數受害者甚至沒有意識到自己已經受到攻擊，直到爲時已晚。Scam Sniffer團隊不斷警告：要了解“增加授權”實際上意味着什麼。這不是一個確認——這是一個空白支票。撤銷未使用的批準。在互動之前驗證合同。在連接錢包之前仔細檢查網址。

加密社區不能再每月爲可預防的攻擊流失)。這是我們——交易所、錢包、安全公司和用戶——應該對此變得更加聰明。