Una ballena de Ethereum ha perdido aproximadamente $25.6 millones en un ataque de phishing, marcando el segundo drenaje mayor de la misma billetera en menos de tres años.

La víctima perdió WBTC, cbBTC, LDO, USDS y CRV antes de que los activos robados fueran convertidos en DAI y ETH. El investigador onchain Specter rastreó el robo hasta la dirección del atacante 0x8fEB...F95Ae.

La misma ballena fue drenada por aproximadamente $24.2 millones en septiembre de 2023 tras firmar una aprobación maliciosa de token, aunque cerca del 90% de esos fondos fueron devueltos posteriormente.

El Atacante Convierte los Activos Robados en DAI y ETH

El drenaje removió activos distribuidos en varios tokens principales de Ethereum en lugar de una sola posición. WBTC y cbBTC proporcionaban exposición a Bitcoin, mientras que la billetera también contenía LDO, USDS y CRV.

Los tokens robados fueron posteriormente intercambiados por DAI y ETH, consolidando la posición después del robo. La conversión de activos diversos en activos base líquidos como ETH y stablecoins es un paso común posterior a la explotación que simplifica el movimiento de fondos y dificulta el rastreo onchain. No ha surgido ninguna indicación pública de un acuerdo de devolución o recuperación del último ataque.

CertiK rastreó de forma independiente aproximadamente $25 millones saliendo de la misma dirección de la víctima, identificándolo como el segundo drenaje importante de la billetera desde 2023.

El último robo ocurre durante otro período difícil para la seguridad de billeteras. Treinta hackeos importantes de criptomonedas generaron $210.3 millones en pérdidas durante julio, mientras que los compromisos específicos de billeteras han seguido siendo una fuente importante de pérdidas junto con los exploits de protocolos y puentes.

La Misma Billetera Perdió $24.2M en 2023

La víctima fue atacada previamente el 7 de septiembre de 2023 tras firmar una transacción increaseAllowance maliciosa que otorgó a un atacante permiso para mover sus tokens. Los exploits de aprobación de tokens son particularmente peligrosos porque delegan autoridad de gasto continua a una dirección de atacante en lugar de ejecutar una sola transferencia, lo que significa que las víctimas pueden no darse cuenta de que su billetera ha sido comprometida hasta que los activos ya están en movimiento.

Ese ataque removió 9,579 stETH y 4,850 rETH, valorados en aproximadamente $24.2 millones en ese momento. Scam Sniffer incluyó posteriormente la dirección entre las mayores víctimas de phishing de 2023, con el robo vinculado específicamente a una firma de Increase Allowance.

Alrededor del 90% de esos activos fueron eventualmente devueltos por el atacante de 2023.

Los dos ataques han removido por lo tanto aproximadamente $49.8 millones en valor bruto de la misma billetera en incidentes separados, aunque esa cifra no debe tratarse como la pérdida neta permanente de la billetera porque la mayor parte del primer robo fue recuperada.

Reutilizar una Billetera Comprometida Puede Dejar Exposición a Largo Plazo

El segundo drenaje difiere de los fallos recientes de billeteras de hardware como los ataques a Coldcard que involucran generación vulnerable de semillas. La pérdida de 2023 involucró un permiso malicioso onchain en lugar de claves privadas predecibles.

Un usuario separado de Ledger perdió más de $1 millón después de ingresar una frase de recuperación en un sitio de phishing, demostrando otra ruta que los atacantes utilizan para eludir las protecciones de billetera.

Las billeteras que han firmado previamente aprobaciones maliciosas pueden retener permisos de gasto ocultos a menos que esas autorizaciones sean revocadas activamente, lo que podría explicar cómo una billetera con un compromiso documentado en 2023 siguió siendo un objetivo viable. Las herramientas de revocación de aprobaciones como el verificador de aprobaciones de tokens de Etherscan y los paneles de terceros se han convertido en medidas defensivas estándar a medida que las campañas de phishing continúan atacando a grandes tenedores en Ethereum y cadenas compatibles con EVM.

El último drenaje de $25.6 millones no ha producido un acuerdo de recuperación divulgado. En la última actualización confirmada, el atacante había convertido los WBTC, cbBTC, LDO, USDS y CRV robados en DAI y ETH.