$24M Lừa đảo Heist: Cách mà Token Approvals Trở Thành Vé Vàng của Hacker

Nhớ con cá voi Ethereum khổng lồ đã mất $24 triệu vào tháng 9 năm 2023 không? Bước ngoặt—các quỹ bị đánh cắp của họ vừa xuất hiện trên blockchain vào tuần trước, và cuốn sách hướng dẫn của hacker tiết lộ điều gì đó nguy hiểm hơn nhiều so với việc rò rỉ mật khẩu đơn giản.

Đây là những gì đã xảy ra:

Nạn nhân đã bị lừa đảo và phê duyệt một hợp đồng độc hại, tưởng rằng đó là hợp pháp. Một cú nhấp chuột đó? Kết thúc trò chơi. Kẻ tấn công đã rút 9,579 stETH và 4,851 rETH từ Rocket Pool trong hai giao dịch riêng biệt. Vào ngày 21 tháng 3, đội ngũ của CertiK đã phát hiện hacker đang di chuyển 3,700 ETH (~$10M) thẳng vào Tornado Cash để che giấu dấu vết của chúng. Tổng số tài sản của kẻ tấn công đã được chuyển đổi thành 13,785 ETH và 1.64M DAI—một kịch bản rửa tiền cổ điển trên chuỗi.

Vấn đề thực sự: Phê duyệt token là vector tấn công mới

Các cuộc tấn công lừa đảo không chỉ là lừa đảo nữa. Theo Scam Sniffer, chức năng “Tăng hạn mức” là thủ phạm - nó cho phép các hacker rút cạn token của bạn vô thời hạn sau khi bạn đã cấp quyền. Chỉ riêng trong tháng trước, gần $47 triệu đã biến mất từ các kế hoạch lừa đảo, với 78% xảy ra trên Ethereum và 86% liên quan đến token ERC-20.

Sau đó là vụ lùm xùm với Dolomite. Vào ngày 20 tháng 3, một hợp đồng lỗi thời đã bị khai thác để đánh cắp 1,8 triệu đô la từ những người dùng đã phê duyệt nó. Cùng tuần đó, Layerswap đã bị xâm phạm—tin tặc đã rút $100K từ 50 người dùng trước khi nhà cung cấp tên miền nhanh chóng đóng cửa. Layerswap đang thực hiện hoàn tiền + bồi thường, nhưng thiệt hại là có thật.

Điều này có nghĩa là gì đối với bạn

Sự chấp thuận token giống như việc ký một tấm séc trắng cho một người lạ. Một hợp đồng độc hại. Một cú nhấp chuột bất cẩn. Và đột nhiên toàn bộ danh mục đầu tư của bạn có thể biến mất. Bài học? Thu hồi các phê duyệt cũ. Kiểm tra lại địa chỉ hợp đồng. Không bao giờ chấp thuận token không giới hạn.

Cộng đồng crypto đang nhận ra mối đe dọa này, nhưng giáo dục và các công cụ bảo mật tốt hơn không thể đến sớm hơn.