$10M en ETH volé vient de toucher Tornado Cash - Voici ce qui s'est passé

Vous vous souvenez du désastre de phishing de septembre 2023 ? Celui où une baleine a été drainée de $24M en actifs stakés ? Eh bien, l'attaquant vient de transférer un autre $10M en ETH vers Tornado Cash le 21 mars—et la blockchain a laissé un reçu complet.

La Chronologie

CertiK l'a attrapé : 3 700 ETH allant dans le mixeur. Ce n'étaient pas des fonds aléatoires - ils ont été volés à une victime de staking de Rocket Pool en septembre. Le hack s'est produit en deux mouvements : d'abord 9 579 stETH ont disparu, puis 4 851 rETH ont été siphonnés. Les dommages totaux à l'époque ? $24 millions.

Comment l'attaque a réellement fonctionné

Voici le secret sale que personne ne veut admettre : la victime l'a approuvé elle-même. Enfin, en quelque sorte. Scam Sniffer a retracé cela à une transaction “Augmenter l'Autorisation”. En gros, le lien de phishing a amené la victime à signer un contrat intelligent qui disait “hé, ce portefeuille peut dépenser mes jetons maintenant.” Direction classique. L'attaquant a utilisé cette approbation pour vider l'ETH staké directement.

La Vision d'Ensemble

Ceci n'est pas isolé. Selon les données de Scam Sniffer :

• $47 millions perdus à cause du phishing en février seulement
• 78% des vols ont eu lieu sur Ethereum
• 86% des actifs volés étaient des tokens ERC-20

Et les exploits d'approbation de jetons continuent d'empirer. Les utilisateurs de Dolomite ont perdu 1,8M $ le 20 mars en utilisant un ancien contrat dont ils avaient oublié de révoquer les permissions. Même Layerswap a été touché—$100K de 50 utilisateurs lorsque leur site a été compromis (, ils remboursent cependant ).

Le vrai problème

Les approbations de jetons sont une caractéristique de conception qui est devenue un cauchemar en matière de sécurité. Lorsque vous signez une approbation, vous remettez essentiellement un chèque en blanc à quelqu'un. La plupart des utilisateurs n'ont aucune idée de ce qu'ils autorisent. L'attaquant peut prendre autant qu'il le souhaite, quand il le souhaite.

Ce que cela signifie

Le phishing ne devient pas moins sophistiqué, il devient plus paresseux. Les attaquants savent que la plupart des gens ne liront pas ce qu'ils signent. Un lien douteux, une transaction d'approbation, et l'ensemble de votre portefeuille peut être envoyé à un mixer avant même que vous ne le remarquiez.

La conclusion ? Révoquez les anciennes approbations, vérifiez chaque adresse de contrat et supposez que chaque lien de phishing cherche des approbations de jetons. Parce que petit spoiler : c'est le cas.