$10 千姨太從網絡釣魚攻擊中轉移到Tornado Cash

在加密貨幣領域發生了一起重大安全事件，通過網絡釣魚攻擊獲得的資金已被追蹤到一個隱私保護的混合服務。

攻擊詳情

在2023年3月21日，區塊鏈安全公司CertiK發現，一個參與2023年9月網絡釣魚攻擊的帳戶轉移了3,700 ETH(，價值約爲$10 百萬)，至Tornado Cash，一個模糊交易來源的加密貨幣混合服務。

這些資金最初是在2023年9月6日被盜的，當時一位持有大量加密貨幣的投資者（被稱爲**"鯨魚"）(成爲了一次復雜釣魚操作的受害者。這次攻擊的總損失達到了)千**的質押以太坊代幣。

技術分析

攻擊分爲兩個不同的階段：

• 第一階段：9,579 stETH $24 質押的以太坊(被移除
• 第二階段：4,851 rETH )Rocket Pool ETH( 被盜

根據詐騙嗅探器項目，一個欺詐檢測倡議，受害者已授權了一個“增加許可”的交易。這個關鍵錯誤使攻擊者能夠批準代幣轉移以謀取自身利益。這一功能內置於智能合約中，允許第三方在獲得適當授權的情況下支配他人的ERC-20代幣。

安全公司PeckShield記錄顯示，攻擊者將被盜資產轉換爲13,785 ETH和1.64百萬Dai。其中一部分資金隨後被轉移到FixedFload交易所，而其餘資產則分配到多個錢包地址。

行業影響

釣魚攻擊繼續對加密貨幣持有者構成重大威脅。Scam Sniffer項目報告稱，僅在二月份，就有近 )千 因釣魚相關的欺詐而損失。他們的分析顯示：

• 78% 的這些盜竊發生在以太坊網路上
• 86% 的被盜資金是ERC-20代幣

與代幣授權相關的安全問題在整個加密貨幣社區引發了嚴重的擔憂。在3月20日的另一起事件中，Dolomite交易所之前使用的過時合約被利用，導致**$1.8 million**從已授予該合約權限的用戶帳戶中被抽走。

最近的安全事件

並非所有的安全漏洞都會導致不可逆轉的損失。在3月20日，Layerswap團隊成功地限制了損失，因爲他們的網站遭到入侵，這得益於他們域名提供商的快速響應。盡管採取了這些措施，攻擊者仍然設法從大約50名用戶那裏竊取了大約**$100,000**。Layerswap承諾將對受影響的用戶進行退款，並提供額外的賠償。

這些事件突顯了加密貨幣用戶面臨的持續安全挑戰，特別是在代幣批準和智能合約交互方面。隨着網絡釣魚技術變得愈加復雜，提高安全意識和驗證程序變得越來越重要，以保護加密貨幣生態系統中的數字資產。