$10 百万网络钓鱼攻击：黑客将被盗的姨太转移到旋风现金

在一起重大的网络安全事件中，一名黑客将$10 千美元的以太从2023年9月的网络钓鱼攻击中转移到加密货币混合服务Tornado Cash，突显了数字资产领域持续存在的安全挑战。

攻击详情和资金流动

在3月21日，区块链安全公司CertiK发现与一起重大数字资产盗窃相关的一个账户已将3,700以太转移至Tornado Cash。这些资金是2023年9月6日通过一次复杂的网络钓鱼攻击发生的$24 百万盗窃的一部分。

受害者被描述为一名加密货币"鲸鱼" (，持有大量数字资产)，在一次两阶段攻击中失去了资金。最初，9,579 stETH 被提取，随后是 4,851 rETH——这两种代币代表通过 Rocket Pool 流动性质押服务质押的以太。

黑客攻击后的资金流动模式：

• 将被盗资产转换为13,785 以太
• 额外将资产转换为164万Dai
• 转移一些DAI到FixedFload交易所
• 将剩余被盗资金分配到多个钱包中

违规的技术分析

攻击通过利用代币授权机制成功实施。根据诈骗检测项目 Scam Sniffer，受害者授权了一笔 "Increase Allowance" 交易，这使得攻击者能够批准代币供其自行使用。

这种利用利用了标准的 ERC-20 功能，允许第三方在获得适当授权的情况下使用他人拥有的代币。然而，在网络钓鱼场景中，受害者在不知情的情况下通过欺骗性界面或交易提供了这种授权。

此事件在加密货币安全圈内引发了关于与智能合约批准相关的潜在风险的重大讨论，这些风险可能被恶意用于欺诈目的。

更广泛的安全环境

钓鱼攻击仍然是加密货币持有者面临的持续威胁。来自Scam Sniffer的最新报告显示，仅在二月份就因钓鱼相关的计划损失了近$47 百万，其中78%发生在以太网络上。ERC-20代币占所有被盗资金的86%。

最近，加密货币行业经历了几起其他重大的安全事件：

• 3月20日，Dolomite交易所之前使用的一个过时合约被利用，导致180万美元从已授权该合约的用户中被提取。

• 同一天，Layerswap团队成功防止了进一步的损失，因为他们的网站被攻破，尽管黑客仍然成功从大约50名用户那里窃取了约100,000美元。Layerswap已承诺向受影响的用户退款并提供额外补偿。

数字资产持有者的安全隐患

这些事件突显了在授权智能合约互动和代币批准时保持警惕的重要性。代币批准功能的利用展示了攻击者如何利用合法的区块链特性来达到恶意目的。

专业交易平台和安全专家建议定期对钱包权限和代币批准进行安全审计。用户应定期审查并撤销不必要的合约权限，以最小化攻击面。

随着复杂的网络钓鱼攻击持续针对加密货币持有者，安全公司、交易平台和用户之间的合作变得越来越重要，以开发增强的保护机制和安全协议，以用于数字资产生态系统。