هاكر يجمع $10 مليون من هجوم التصيد إلى تورنادو كاش

وقع “حوت” العملات الرقمية ضحية لهجوم تصيد معقد في عام 2023، حيث أذن دون علمه بمعاملات أعطت القراصنة الوصول إلى ثروته الرقمية. في تطور حديث، قام المهاجمون بنقل $10 مليون من ايثر إلى Tornado Cash، وهي خدمة خلط عملات رقمية سيئة السمعة مصممة لإخفاء آثار المعاملات.

في 21 مارس، رصدت شركة الأمن CertiK أحد حسابات القراصنة وهو يقوم بتحويل 3,700 ايثر إلى Tornado Cash. كان هذا الحساب مرتبطًا بهجوم في 6 سبتمبر 2023 الذي استنزف مبلغًا مذهلاً قدره $24 مليون من الضحية من خلال خدمة رهن Rocket Pool. حدثت السرقة على مرحلتين مدمرتين، حيث تم سرقة 9,579 stETH أولاً تليها 4,851 rETH.

لقد رأيت هذا النمط من قبل - الضحايا يوقعون أصولهم دون أن يدركوا. وفقًا لـ Scam Sniffer، فقد منح الحوت إذن “زيادة السماح”، مما يمنح المخترق بشكل أساسي إذنًا لإنفاق رموزهم. لقد أصبحت هذه الوظيفة البريئة الظاهرة سلاحًا مفضلًا في ترسانة المحتالين.

لقد كانت مجتمع العملات المشفرة يتحدث كثيرًا عن مخاطر الموافقة على الرموز. لا يدرك العديد من المستخدمين أنهم قد يمنحون الممثلين الخبيثين المفاتيح لخزائنهم الرقمية عند التفاعل مع العقود الذكية المريبة.

كشفت تحليل PeckShield أن المهاجم قام بتحويل الأصول المسروقة إلى 13,785 ايثر و1.64 مليون Dai، ثم نقل بعض DAI إلى بورصة FixedFload بينما وزع الأموال المتبقية عبر عدة محافظ.

شهد شهر فبراير وحده خسارة ما يقرب من $47 مليون بسبب عمليات الاحتيال عبر التصيد، حيث كانت شبكة ايثر تمثل 78% من هذه السرقات. مثلت رموز ERC-20 86% من الأموال المسروقة - وهي إحصائية مثيرة للقلق يجب أن تجعلنا جميعًا نتساءل عن ممارساتنا الأمنية.

استمرار استغلال العقود القديمة يسبب المتاعب للمستخدمين. مؤخرًا، تم استخدام عقد تبادل دولوميت قديم لسحب 1.8 مليون دولار من المستخدمين الذين منحوا الأذونات سابقًا. حث المطورون المستخدمين بشكل محموم على إلغاء جميع الموافقات للعنوان المخترق.

ليس كل الهجمات تنجح بالكامل. عندما تم اختراق موقع Layerswap، كانت استجابتهم السريعة قد حدت من الخسائر إلى “فقط” 100,000 دولار تؤثر على حوالي 50 مستخدمًا. لقد وعدوا برد الأموال والتعويض، لكن الضرر الذي لحق بثقة المستخدمين لا يزال قائمًا.

تسلط هذه الحوادث الضوء على المشهد الخطير الذي نتنقل فيه يوميًا في عالم العملات الرقمية. إن استغلال الموافقات على الرموز والعقود الذكية يتطلب مزيدًا من اليقظة والتعليم. بدون تحسين تدابير الأمان وزيادة الوعي لدى المستخدمين، سنستمر في رؤية ملايين تُسحب من ضحايا غير متيقظين من خلال هذه الهجمات المعقدة للهندسة الاجتماعية.