Hakerzy kradną 8 milionów dolarów w Ethereum w najnowszym ataku phishingowym Uniswap

Hakerzy kradną 8 milionów dolarów w ETH w ostatnim ataku phishingowym na Uniswap po tym, jak uzyskali dostęp do płyt LP poprzez złośliwą umowę zrzutu, więc przyjrzyjmy się bliżej dzisiejszemu wiadomości z kryptowaluty.

Oszustwo phishingowe oferujące oszukańczy airdrop zdołało obrabować użytkowników Uniswap z 8 milionów dolarów w funduszach, a oszust obiecał darmowy airdrop 400 UNI Tokenów o wartości 2200 USD, więc użytkownicy zostali poproszeni o podłączenie swoich portfeli i podpisanie transakcji, aby odebrać airdrop. Przed połączeniem haker przejął środki użytkownika za pośrednictwem złośliwej inteligentnej umowy. Ponad 74,000 11 portfeli weszło w interakcję z inteligentną umową oszustwa zgodnie z danymi na Etherscan. Haker wdrożył nawet inteligentny kontrakt XNUMX lipca.

Kod nie został zweryfikowany pod kątem inteligentnego kontraktu, który został wdrożony na Etherscan, co jest czymś, co robi większość projektów, które są faktycznie legalne. Po wdrożeniu, w celu zebrania tych tokenów, haker nakłonił użytkowników do podpisania transakcji, ale transakcja ta służyła jako transakcja zatwierdzająca i dała hakerowi dostęp do tokenów Uniswap LP, które były w posiadaniu użytkownika.

Gdy użytkownik dodaje płynność do Uniswap, może otrzymać w zamian Tokeny LP jako reprezentację pozycji płynności, a tokeny te mogą być przenoszone jak inne NFT. Poprzez transakcję zatwierdzającą strona trzecia może wydać środki w imieniu użytkownika. Po uzyskaniu dostępu z innych transakcji hakerzy kradną 8 milionów dolarów, mogąc przenieść tokeny LP do jego portfela i wycofać płyn z Uniswap. Haker uzyskał 7500 ETH dzięki exploitowi jako twórca Uniswap Haydena Adamsa dodano:

„Był to atak phishingowy, w wyniku którego niektóre LP NFT zostały odebrane osobom, które zatwierdziły złośliwe transakcje. Całkowicie oddzielona od protokołu.

Były inżynier w Metamask Harry Denly dodał:

„Od bloku 151,223,32 było 73,399 XNUMX adresów, którym wysłano złośliwy token w celu wycelowania w ich zasoby, pod fałszywym wrażeniem zrzutu $ UNI na podstawie ich płyt LP”.

Kilka godzin po tweecie Denly'ego, dyrektor generalny Binance Changpeng Zhao wyraził swoją opinię na ten temat i stwierdził, że protokół DEX został wykorzystany. Później, po wyjaśnieniach zespołu, potwierdził, że rzeczywiście było to oszustwo phishingowe:

„Wydaje się, że tweetowanie wydaje się niewiarygodnie nieodpowiedzialną rzeczą, była to kampania phishingowa, a nie exploit kodu Uniswap v3”.

Jednak inny użytkownik napisał na Twitterze po tweecie Zhao:

"Zgódźmy się na niezgodę. Osobiście uważam, że gdy masz publiczność składającą się z [6 milionów] ludzi, nie powinieneś krążyć wokół i siać paniki bez uprzedniego zweryfikowania swojej historii”.