$24M التصيد Blitz: كيف يستخدم الهاكر عملات الموافقة كأداة

تعرض حوت عملة مشفرة للخسارة في سبتمبر 2023—وقد قام المخترقون للتو بتحويل الأموال. $10 مليون من ETH المسروقة وصلت إلى Tornado Cash في 21 مارس، بفضل هجوم تصيد حصل على $24 مليون إجمالي.

إليك خطة العمل:

المرحلة 1: فخ الهندسة الاجتماعية المسؤول عن الضحية وافق على عملية “زيادة السماح”. يبدو بريئًا، أليس كذلك؟ خطأ. هذه الخطوة منحت المهاجمين الإذن لإنفاق رموز ERC-20 مباشرة من محفظة الضحية باستخدام العقود الذكية. خطوة كلاسيكية - الضحية لم ترها قادمة.

المرحلة 2: الاستخراج

• تم سحب 9,579 stETH ( من رهان Rocket Pool )
• حصلت على 4,851 rETH
• تم تحويله إلى 13,785 ETH + 1.64M DAI
• تم توجيهها من خلال الخلاطات والمحافظ الثانوية

لماذا هذا مهم

هذه ليست حالة نادرة. تُظهر بيانات Scam Sniffer أن $47 مليون تم فقده بسبب الاحتيال في فبراير فقط - 78% على Ethereum، مع تعرض رموز ERC-20 لأكبر تأثير (86% من جميع الأموال المسروقة ).

المفاجأة الحقيقية؟ موافقات الرموز أصبحت هي وسيلة الهجوم الجديدة. قبل أسبوع، تم استغلال عقد قديم من دولوميت لاستنزاف 1.8 مليون دولار. نفس القصة: المستخدمون منحوا الموافقات، والمهاجمون نفذوا فقط.

النمط

تستهدف هذه الهجمات نقطة ضعف واحدة: المستخدمون لا يفهمون ما الذي يوافقون عليه. أنت توافق على عقد لصفقة واحدة، فيحصل المهاجم على شيك على بياض.

الخط السفلي: قبل النقر على “الموافقة” في أي عقد، اسأل نفسك - هل أثق فعلاً في هذا العنوان بالوصول غير المحدود إلى الرموز؟ في الغالب، يجب أن تكون الإجابة لا.

يمكن لشركات الأمن (CertiK و PeckShield و Scam Sniffer) تتبع الأموال، لكن لا يمكنهم استعادتها بمجرد دخولها إلى Tornado Cash. هذه مشكلة تعليم المستخدمين، وليست مشكلة تقنية.