$10M trong ETH bị đánh cắp vừa hit Tornado Cash—Đây là những gì đã xảy ra

Còn nhớ thảm họa lừa đảo vào tháng 9 năm 2023 không? Cái mà một cá voi đã bị rút $24M trong tài sản đã thế chấp? Chà, kẻ tấn công vừa chuyển thêm $10M trị giá ETH đến Tornado Cash vào ngày 21 tháng 3 - và blockchain đã để lại một biên nhận đầy đủ.

Dòng thời gian

CertiK đã phát hiện: 3,700 ETH đang được rửa tiền. Đây không phải là những quỹ ngẫu nhiên - chúng đã bị đánh cắp từ một nạn nhân thế chấp Rocket Pool vào tháng Chín. Cuộc tấn công xảy ra trong hai bước: đầu tiên 9,579 stETH biến mất, sau đó 4,851 rETH bị siphon. Tổng thiệt hại vào thời điểm đó? $24 triệu.

Cách mà cuộc tấn công thực sự diễn ra

Đây là bí mật bẩn thỉu mà không ai muốn thừa nhận: nạn nhân đã tự phê duyệt nó. À, cũng có phần đúng. Scam Sniffer đã truy tìm về một giao dịch “Tăng hạn mức”. Về cơ bản, liên kết lừa đảo đã khiến nạn nhân ký một hợp đồng thông minh nói rằng “này, ví này có thể chi tiêu token của tôi ngay bây giờ.” Mẹo đánh lạc hướng cổ điển. Kẻ tấn công đã sử dụng sự phê duyệt này để rút ETH đã thế chấp trực tiếp.

Bức Tranh Lớn Hơn

Điều này không phải là cách ly. Theo dữ liệu của Scam Sniffer:

• $47 triệu bị mất do lừa đảo chỉ trong tháng Hai
• 78% của vụ trộm xảy ra trên Ethereum
• 86% tài sản bị đánh cắp là token ERC-20

Và các lỗ hổng phê duyệt token ngày càng trở nên tồi tệ. Người dùng Dolomite đã mất 1.8 triệu USD vào ngày 20 tháng 3 khi sử dụng một hợp đồng cũ mà họ đã quên thu hồi quyền. Ngay cả Layerswap cũng bị ảnh hưởng—$100K từ 50 người dùng khi trang web của họ bị xâm phạm ( họ đang hoàn tiền cho nó mặc dù ).

Vấn Đề Thực Sự

Phê duyệt token là một tính năng thiết kế đã trở thành một cơn ác mộng về bảo mật. Khi bạn ký phê duyệt, bạn thực chất đang trao cho ai đó một tấm séc để trắng. Hầu hết người dùng không biết họ đang ủy quyền gì. Kẻ tấn công có thể lấy bao nhiêu tùy thích, bất cứ khi nào họ muốn.

Điều này có nghĩa là

Lừa đảo không trở nên kém tinh vi hơn - mà đang trở nên lười biếng hơn. Những kẻ tấn công biết rằng hầu hết mọi người sẽ không đọc những gì họ đang ký. Một liên kết đáng ngờ, một giao dịch phê duyệt, và toàn bộ danh mục đầu tư của bạn có thể biến mất vào một mixer trước khi bạn kịp nhận ra.

Điều cần rút ra? Hủy bỏ các phê duyệt cũ, xác minh mọi địa chỉ hợp đồng, và giả định rằng mọi liên kết lừa đảo đều đang tìm kiếm các phê duyệt token. Bởi vì thông báo trước: đúng vậy.