$24M 网络钓鱼 blitz:黑客如何武器化代币授权

robot
摘要生成中

一位加密货币鲸鱼在2023年9月被击垮——而黑客们刚刚兑现了。$10 百万被盗姨太在3月21日进入了Tornado Cash,这是由于一起钓鱼攻击,共计盗取$24 百万。

这是战术手册:

第一阶段:社交工程陷阱 受害者授权了一笔"增加津贴"的交易。听起来无辜,对吧?错了。这一步骤让攻击者可以使用智能合约直接从受害者的钱包中支出ERC-20代币。经典手法——受害者完全没有预料到。

第二阶段:提取

  • 拖走了 9,579 姨太 (火箭池质押)
  • 获取了4,851姨太
  • 转换为 13,785 姨太 + 1.64M DAI
  • 通过混合器和次级钱包进行转移

这件事的重要性

这不是个边缘案例。诈骗嗅探器数据显示**$47 百万在二月份因钓鱼而损失**——78%是以太坊,ERC-20 代币受损最严重(86%的所有被盗资金)。

真正的关键是什么?代币授权正在成为新的攻击向量。一周前,一个旧的Dolomite合约被利用,导致$1.8M被榨取。相同的故事:用户已授予授权,攻击者只是执行了。

模式

这些攻击利用了一个弱点:用户不理解他们在签署什么。你批准了一项交易的合同,攻击者得到了一个空白支票。

底线:在点击任何合约上的"批准"之前,问问自己——我真的信任这个地址拥有无限代币访问权限吗?大多数情况下,答案应该是否定的。

安全公司(CertiK、PeckShield、Scam Sniffer)可以追踪资金,但一旦进入Tornado Cash,他们无法将其追回。这是一个用户教育问题,而不是技术问题。

ETH4.44%
STETH4.42%
DAI0.12%
查看原文
此页面可能包含第三方内容,仅供参考(非陈述/保证),不应被视为 Gate 认可其观点表述,也不得被视为财务或专业建议。详见声明
  • 赞赏
  • 评论
  • 转发
  • 分享
评论
0/400
暂无评论
交易,随时随地
qrCode
扫码下载 Gate App
社群列表
简体中文
  • 简体中文
  • English
  • Tiếng Việt
  • 繁體中文
  • Español
  • Русский
  • Français (Afrique)
  • Português (Portugal)
  • Bahasa Indonesia
  • 日本語
  • بالعربية
  • Українська
  • Português (Brasil)