Неизвестный криптопользователь лишился $999 999 в USDT в результате фишинговой атаки в сети Ethereum: он подписал поддельный запрос на одобрение токена. Об инциденте сообщила компания Scam Sniffer.

Ончейн-записи показывают, что похищенные средства злоумышленники разбили на три транзакции. Переводы попали в блоки Ethereum 25489460 и 25489463 — в считаные минуты после подписи.

Как устроена атака через одобрение токена

Фишинг с одобрением токенов (token approval) остаётся одной из самых живучих угроз в децентрализованных финансах. Приватные ключи жертвы атакующему не нужны: достаточно убедить пользователя подписать запрос, который выдаёт контракту широкий доступ к токену. Такое разрешение действует до тех пор, пока его кто-нибудь не отзовёт.

Схема бьёт по пользователям на протяжении всего 2026 года. В данном случае кошелёк жертвы имел неограниченный лимит (unlimited allowance) на токен, что дало злоумышленнику свободу действий без дополнительных подтверждений. В мае поддельный сайт Uniswap вывел около $400 000 с нескольких кошельков после того, как посетители одобрили вредоносный контракт. В этом же месяце аналогично пострадал пользователь HyperSwap, попавшийся на фальшивый эйрдроп: кошелёк опустошили за секунды после одного клика.

Функции Multicall ускорили кражу

В этом инциденте атакующий использовал функции Multicall, чтобы упаковать несколько действий в одну транзакцию. Такая структура позволила переместить одобренный USDT за секунды и почти мгновенно разделить средства на три отдельных вывода. В итоге окно, в которое жертва могла успеть отозвать разрешение, сузилось до минимума.

Приватные ключи кошелька при этом остались нетронутыми — поэтому стандартные предупреждения кошельков подобные схемы, как правило, не отмечают. Метод перекликается с недавними атаками через «отравление» адресов, где злоумышленники играют на структуре транзакций, а не на краже учётных данных. Scam Sniffer также связала рост потерь от фишинга на 200% в этом году со смещением фокуса атак на кошельки с крупными балансами.

Аналитики призывают проверять каждую подпись

После кражи специалисты Scam Sniffer повторили призыв проверять каждый запрос на подпись перед подтверждением: сверять точный адрес контракта и объём выдаваемых прав, которые показывает кошелёк, и не одобрять запросы «по умолчанию». Регулярный отзыв неиспользуемых и неограниченных разрешений остаётся одной из простейших мер защиты.

Инцидент перекликается и с раскрытой в январе фишинговой кампанией против MetaMask, где поддельные запросы двухфакторной аутентификации полностью усыпляли бдительность пользователей. Разработчики кошельков продолжают добавлять защиту, но аналитики отмечают: никакие изменения интерфейса не заменят внимательного чтения того, что именно разрешает подпись.

Источник: BeInCrypto