$10M ETH volé vient d'être blanchi à travers Tornado Cash — Voici ce qui a mal tourné

Vous vous souvenez de cette attaque de phishing $24M sur une baleine crypto en septembre 2023 ? Le drame n'est pas terminé. CertiK vient de repérer le hacker déplaçant 3 700 ETH (~$10M aux prix actuels ) dans Tornado Cash le 21 mars—un classique du livre de jeux de blanchiment d'argent.

Comment ils se sont fait avoir

La victime a autorisé une transaction “Augmenter l'Allocation” (, ça semble innocent, non ? ). Twist : cela a donné à l'attaquant un accès illimité à leur ETH staké via Rocket Pool. Le contrat intelligent a été armé. Boom—9 579 stETH + 4 851 rETH disparus.

Les mouvements de l'attaquant après cela :

• Converti 13,785 ETH + 1,64M DAI
• J'ai vendu un peu de DAI sur l'échange FixedFloat
• Le reste ? Éparpillé à travers des portefeuilles anonymes

Ce n'est même pas le pire mois

Le phishing dans la crypto est hors de contrôle. Le rapport de février de Scam Sniffer a montré que ~$47M a été perdu uniquement à cause du phishing. 78 % ont eu lieu sur Ethereum. Les tokens ERC-20 représentent 86 % des actifs volés. Les approbations de tokens sont devenues le nouveau vecteur d'attaque.

Mars était le chaos :

• 20 mars : Ancien contrat de Dolomite exploité pour 1,8 M $ ( utilisateurs ayant accordé leur approbation = victimes )
• Même jour : le site de Layerswap a été compromis, $100K siphonnés à ~50 utilisateurs ( ils ont été remboursés + comp cependant )

Le véritable problème

La plupart des gens n'ont aucune idée de ce qu'ils approuvent. Un clic sur un lien de phishing, boum—accès illimité aux tokens accordé pour toujours. Les entreprises de sécurité crient au sujet de cela, mais l'éducation accuse un grand retard.

Conclusion : Avant de cliquer sur “approuver” sur quoi que ce soit, demandez-vous : “Est-ce que je sais vraiment quel contrat j'autorise ?” 90 % du temps, la réponse est non. C'est ainsi que vous vous retrouvez en tant que “baleine” dans un rapport de piratage.