$10M ETH yang dicuri menyerang Tornado Cash—Inilah yang kami ketahui tentang pelanggaran Phishing di bulan September

Seorang hacker baru saja memindahkan 3.700 ETH ($10M+) ke Tornado Cash, yang dapat ditelusuri kembali ke serangan phishing terkenal pada September 2023 yang merugikan seorang paus crypto sebesar $24 juta. CertiK menandai akun tersebut pada 21 Maret, menghubungkan titik-titik ke insiden di mana korban kehilangan 9.579 stETH melalui layanan staking likuiditas Rocket Pool ditambah 4.851 rETH dalam serangan dua fase.

Bagaimana Mereka Masuk: Jebakan Persetujuan Token

Ini bagian yang buruk—penyerang tidak pernah meretas kata sandi apa pun. Korban secara tidak sengaja mengotorisasi transaksi “Tingkatkan Izin”, pada dasarnya memberikan kepada peretas cek kosong untuk menguras token ERC-20 sesuka hati. Analisis Scam Sniffer menunjukkan ini adalah pembunuh yang sebenarnya: kontrak pintar jahat yang menyamar sebagai yang sah, menunggu pengguna memberikan izin kepada mereka.

Jejak Uang

PeckShield melacak konversi: 13.785 ETH + 1,64 juta DAI. Beberapa DAI dibuang di FixedFloor, sisanya tersebar di beberapa akun. Buku panduan klasik pencucian uang—campurkan, bagi, hilangkan.

Ini Terjadi Setiap Minggu Sekarang

Bulan Februari saja menyaksikan $47M hilang karena phishing (78% di Ethereum). Eksploitasi persetujuan token menjadi vektor serangan standar yang baru. Ingat Dolomite? Kontrak lama dipersenjatai pada 20 Maret, menguras $1.8M dari pengguna yang telah melupakan persetujuan lama yang mereka berikan.

Apa yang Sebenarnya Berfungsi: Kecepatan & Transparansi

Layerswap terkena serangan untuk $100K tetapi dengan cepat menghentikan kerugian. Penyedia domain mereka membunuh DNS berbahaya sebelum kerusakan besar terjadi. Mereka mengembalikan uang kepada para korban + kompensasi tambahan—menunjukkan kepada industri bagaimana respons insiden seharusnya terlihat.

Cek Realitas

Phishing tidak akan hilang. Persetujuan token adalah permukaan serangan baru. Solusinya? Hentikan perlakuan kontrak persetujuan seolah-olah gratis. Cabut yang lama. Verifikasi setiap transaksi. Dan sejujurnya, jika sebuah kesepakatan meminta Anda untuk menyetujui pengeluaran tanpa batas, pergi saja.