Кит потерял более 6 миллионов USD из-за неверной подписи вредоносного кода

Одна криптовалютная акула понесла убытки более 6 миллионов USD, включая стейкинговый Ethereum (stETH) и Aave-wrapped Bitcoin (aEthWBTC) после случайного одобрения вредоносной подписи в результате фишинговой атаки 18 сентября, согласно компании по безопасности блокчейна Scam Sniffer.

Согласно отчету, нападающий замаскировал это действие под обычный шаг подтверждения кошелька через подпись "Permit", обманув жертву, чтобы она разрешила перевод активов, не оставляя никаких признаков тревоги.

Ю Сянь, основатель компании по безопасности SlowMist, сообщил, что жертва не осознавала опасность из-за того, что транзакция не требует оплаты газа. Он написал:

"С точки зрения жертвы, он всего лишь нажал несколько раз, чтобы подтвердить всплывающее окно с подписью из кошелька, не потратив ни копейки на газ, и 6,28 миллиона долларов исчезло."

Как работает эксплуатация Permit

Функция "Permit" разработана для упрощения передачи токенов. Вместо выполнения on-chain команды и оплаты газа, пользователи могут подписать off-chain сообщение для предоставления полномочий другой стороне.

Однако именно это удобство открыло новую поверхность атаки для злоумышленников. Когда жертва подписывает "разрешение", злоумышленник может объединить две функции — Permit и TransferFrom — чтобы вывести активы напрямую. Поскольку процесс авторизации происходит вне цепочки, панель управления кошельком не отображает необычную активность до тех пор, пока активы не будут выведены.

В результате, когда сделка выполняется в сети, все токены были переведены на кошелек злоумышленника. Это уязвимость, которая делает Permit exploit все более популярным инструментом хакеров, позволяя им выводить миллионы USD без необходимости в сложных хакерских техниках или высоких затратах на газ.

Увеличение убытков от фишинга

Данный инцидент отражает тенденцию к резкому увеличению числа фишинговых атак.

Согласно Scam Sniffer, только в августе злоумышленники украли 12,17 миллиона USD у более чем 15 200 жертв, что на 72% больше, чем в июле. Примечательно, что почти половина ущерба пришлась на три крупных кошелька, включая один кошелек, из которого было потеряно 3,08 миллиона USD всего за один раз.

Компания считает, что это увеличение в основном связано с мошенническими схемами, связанными с EIP-7702 (batch-signature scam) и тем, что пользователи случайно переводят средства напрямую в вредоносный контракт.

В условиях этой ситуации эксперты по безопасности призывают пользователей криптовалют быть особенно осторожными при подписании запросов от кошельков, особенно избегать предоставления неограниченного доступа к своим активам.

Ван Цянь