Ein Ethereum-Wal hat in einem Phishing-Angriff rund $25.6 million verloren, was den zweiten großen Abfluss aus demselben Wallet in weniger als drei Jahren markiert.

Das Opfer verlor WBTC, cbBTC, LDO, USDS und CRV, bevor die gestohlenen Vermögenswerte in DAI und ETH umgewandelt wurden. Der Onchain-Ermittler Specter führte den Diebstahl auf die Angreiferadresse 0x8fEB...F95Ae zurück.

Dasselbe Wallet wurde im September 2023 um rund $24.2 million erleichtert, nachdem eine bösartige Token-Genehmigung signiert worden war, obwohl etwa 90% dieser Gelder später zurückgegeben wurden.

Angreifer wandelt gestohlene Vermögenswerte in DAI und ETH um

Der Abfluss betraf Vermögenswerte, die über mehrere große Ethereum-Token verteilt waren, und nicht nur eine einzelne Position. WBTC und cbBTC boten Bitcoin-Exposure, während das Wallet zudem LDO, USDS und CRV hielt.

Die gestohlenen Token wurden anschließend in DAI und ETH getauscht, wodurch die Position nach dem Diebstahl konsolidiert wurde. Eine Umwandlung vielfältiger Bestände in liquide Basiswerte wie ETH und Stablecoins ist ein üblicher Schritt nach einem Angriff, der die Bewegung von Geldern vereinfacht und die Onchain-Nachverfolgung erschwert. Es gibt bislang keinen öffentlichen Hinweis auf eine Rückgabevereinbarung oder Wiedererlangung nach dem jüngsten Angriff.

CertiK verfolgte unabhängig davon rund $25 million, die dieselbe Opferadresse verließen, und stufte dies als den zweiten großen Abfluss des Wallets seit 2023 ein.

Der jüngste Diebstahl ereignet sich in einer weiteren schwierigen Phase für die Wallet-Sicherheit. Dreißig große Krypto-Hacks verursachten im Juli Verluste von $210.3 million, während wallet-spezifische Kompromittierungen neben Protokoll- und Bridge-Exploits weiterhin eine wichtige Verlustquelle geblieben sind.

Dasselbe Wallet verlor 2023 $24.2M

Das Opfer wurde bereits am 7. September 2023 getroffen, nachdem es eine bösartige increaseAllowance-Transaktion signiert hatte, die einem Angreifer die Erlaubnis gab, seine Token zu bewegen. Token-Genehmigungs-Exploits sind besonders gefährlich, weil sie einem Angreifer anhaltende Ausgabebefugnisse einräumen, statt nur eine einzelne Überweisung auszuführen; Opfer bemerken daher unter Umständen nicht, dass ihr Wallet kompromittiert ist, bis die Vermögenswerte bereits bewegt werden.

Bei diesem Angriff wurden 9,579 stETH und 4,850 rETH entfernt, die zum damaligen Zeitpunkt etwa $24.2 million wert waren. Scam Sniffer führte die Adresse später unter den größten Phishing-Opfern des Jahres 2023 auf, wobei der Diebstahl ausdrücklich mit einer Increase-Allowance-Signatur verbunden war.

Etwa 90% dieser Vermögenswerte wurden später vom Angreifer aus dem Jahr 2023 zurückgegeben.

Die beiden Angriffe haben damit über separate Vorfälle hinweg einen Bruttowert von rund $49.8 million aus demselben Wallet entfernt, wobei diese Zahl nicht als dauerhafter Nettoverlust des Wallets zu verstehen ist, da der Großteil des ersten Diebstahls wiederhergestellt wurde.

Die erneute Nutzung eines kompromittierten Wallets kann langfristige Risiken hinterlassen

Der zweite Abfluss unterscheidet sich von jüngeren Hardware-Wallet-Ausfällen wie den Coldcard-Angriffen, bei denen eine verwundbare Seed-Generierung eine Rolle spielte. Der Verlust von 2023 betraf eine bösartige Onchain-Berechtigung und nicht vorhersehbare private Schlüssel.

Ein weiterer Ledger-Nutzer verlor mehr als $1 million, nachdem er eine Wiederherstellungsphrase auf einer Phishing-Seite eingegeben hatte, was einen weiteren Weg zeigt, mit dem Angreifer Wallet-Schutzmechanismen umgehen.

Wallets, die zuvor bösartige Genehmigungen signiert haben, können versteckte Ausgabeberechtigungen behalten, sofern diese Freigaben nicht aktiv widerrufen werden; dies könnte erklären, warum ein Wallet mit dokumentierter Kompromittierung aus dem Jahr 2023 weiterhin ein angreifbares Ziel blieb. Werkzeuge zum Widerruf von Genehmigungen wie der Token-Approval-Checker von Etherscan und Dashboards von Drittanbietern sind zu Standardmaßnahmen geworden, da Phishing-Kampagnen weiterhin große Halter über Ethereum- und EVM-kompatible Chains hinweg ins Visier nehmen.

Der jüngste Abfluss in Höhe von $25.6 million hat bislang keine offengelegte Wiederherstellungsvereinbarung hervorgebracht. Beim zuletzt bestätigten Stand hatte der Angreifer das gestohlene WBTC, cbBTC, LDO, USDS und CRV in DAI und ETH umgewandelt.