Невідомий криптокористувач втратив $999 999 у USDT унаслідок фішингової атаки в мережі Ethereum: він підписав підроблений запит на схвалення токена. Про інцидент повідомила компанія Scam Sniffer.

Ончейн-записи показують, що викрадені кошти зловмисники розбили на три транзакції. Перекази потрапили в блоки Ethereum 25489460 і 25489463 — за лічені хвилини після підпису.

Як влаштована атака через схвалення токена

Фішинг зі схваленням токенів (token approval) лишається однією з найживучіших загроз у децентралізованих фінансах. Приватні ключі жертви атакувальнику не потрібні: досить переконати користувача підписати запит, який видає контракту широкий доступ до токена. Такий дозвіл діє доти, доки його хтось не відкличе.

Схема б’є по користувачах упродовж усього 2026 року. У цьому випадку гаманець жертви мав необмежений ліміт (unlimited allowance) на токен, що дало зловмиснику свободу дій без додаткових підтверджень. У травні підроблений сайт Uniswap вивів близько $400 000 з кількох гаманців після того, як відвідувачі схвалили шкідливий контракт. Цього ж місяця аналогічно постраждав користувач HyperSwap, який натрапив на фальшивий ейрдроп: гаманець спорожнили за секунди після одного кліку.

Функції Multicall пришвидшили крадіжку

У цьому інциденті атакувальник використав функції Multicall, щоб упакувати кілька дій в одну транзакцію. Така структура дозволила перемістити схвалений USDT за секунди й майже миттєво розділити кошти на три окремі виведення. Як наслідок, вікно, в яке жертва могла встигнути відкликати дозвіл, звузилося до мінімуму.

Приватні ключі гаманця при цьому лишилися недоторканими — тому стандартні попередження гаманців подібні схеми, як правило, не позначають. Метод перегукується з нещодавніми атаками через «отруєння» адрес, де зловмисники грають на структурі транзакцій, а не на крадіжці облікових даних. Scam Sniffer також пов’язала зростання втрат від фішингу на 200% цього року зі зміщенням фокуса атак на гаманці з великими балансами.

Аналітики закликають перевіряти кожен підпис

Після крадіжки фахівці Scam Sniffer повторили заклик перевіряти кожен запит на підпис перед підтвердженням: звіряти точну адресу контракту та обсяг прав, які показує гаманець, і не схвалювати запити «за замовчуванням». Регулярне відкликання невикористовуваних і необмежених дозволів лишається одним із найпростіших заходів захисту.

Інцидент перегукується і з розкритою в січні фішинговою кампанією проти MetaMask, де підроблені запити двофакторної автентифікації повністю приспляли пильність користувачів. Розробники гаманців продовжують додавати захист, але аналітики зазначають: жодні зміни інтерфейсу не замінять уважного читання того, що саме дозволяє підпис.

Джерело: BeInCrypto