Una balena di Ethereum ha perso circa 25,6 milioni di dollari in un attacco di phishing, segnando il secondo grande drenaggio dallo stesso wallet in meno di tre anni.

La vittima ha perso WBTC, cbBTC, LDO, USDS e CRV prima che le attività rubate venissero convertite in DAI e ETH. L'investigatore onchain Specter ha rintracciato il furto all'indirizzo dell'attaccante 0x8fEB...F95Ae.

La stessa balena era stata drenata di circa 24,2 milioni di dollari a settembre 2023 dopo aver firmato un'approvazione malevola di token, sebbene circa il 90% di quei fondi sia stato successivamente restituito.

L'attaccante converte le attività rubate in DAI ed ETH

Il drenaggio ha rimosso attività distribuite su diversi token principali di Ethereum anziché una singola posizione. WBTC e cbBTC fornivano esposizione a Bitcoin, mentre il wallet conteneva anche LDO, USDS e CRV.

I token rubati sono stati successivamente scambiati in DAI ed ETH, consolidando la posizione dopo il furto. La conversione di partecipate diversificate in attività di base liquide come ETH e stablecoin è un passaggio post-sfruttamento comune che semplifica il movimento dei fondi e complica il tracciamento onchain. Non è emersa alcuna indicazione pubblica di un accordo di restituzione o di recupero dall'ultimo attacco.

CertiK ha rintracciato in modo indipendente circa 25 milioni di dollari in uscita dallo stesso indirizzo della vittima, identificandolo come il secondo grande drenaggio del wallet dal 2023.

L'ultimo furto arriva durante un altro periodo difficile per la sicurezza dei wallet. Trenta importanti attacchi informatici al settore crypto hanno generato 210,3 milioni di dollari in perdite a luglio, mentre le compromissioni specifiche dei wallet sono rimaste una delle principali fonti di perdite insieme agli exploit di protocolli e bridge.

Lo stesso wallet ha perso 24,2 milioni di dollari nel 2023

La vittima era stata precedentemente colpita il 7 settembre 2023 dopo aver firmato una transazione increaseAllowance malevola che ha concesso a un attaccante l'autorizzazione a spostare i suoi token. Gli exploit basati sull'approvazione di token sono particolarmente pericolosi perché delegano un'autorità di spesa continuativa a un indirizzo attaccante anziché eseguire un singolo trasferimento, il che significa che le vittime potrebbero non rendersi conto che il proprio wallet è compromesso finché le attività non sono già in movimento.

Quell'attacco ha rimosso 9.579 stETH e 4.850 rETH, valutati all'incirca 24,2 milioni di dollari all'epoca. Scam Sniffer ha successivamente inserito l'indirizzo tra le più grandi vittime di phishing del 2023, con il furto legato specificamente a una firma di Increase Allowance.

Circa il 90% di quelle attività è stato eventualmente restituito dall'attaccante del 2023.

I due attacchi hanno quindi rimosso circa 49,8 milioni di dollari in valore lordo dallo stesso wallet in incidenti separati, sebbene questa cifra non debba essere considerata come la perdita netta permanente del wallet perché la maggior parte del primo furto è stata recuperata.

Riutilizzare un wallet compromesso può lasciare un'esposizione a lungo termine

Il secondo drenaggio differisce dai recenti guasti dei wallet hardware come gli attacchi a Coldcard che hanno coinvolto una generazione vulnerabile di seed. La perdita del 2023 ha coinvolto un'autorizzazione malevola onchain anziché chiavi private prevedibili.

Un utente separato di Ledger ha perso più di 1 milione di dollari dopo aver inserito una frase di recupero in un sito di phishing, dimostrando un'altra via che gli attaccanti utilizzano per aggirare le protezioni del wallet.

I wallet che hanno precedentemente firmato approvazioni malevole possono conservare autorizzazioni di spesa nascoste a meno che tali concessioni non vengano attivamente revocate, il che potrebbe spiegare come un wallet con una compromissione documentata nel 2023 sia rimasto un bersaglio valido. Strumenti di revoca delle approvazioni come il verificatore di approvazioni di token di Etherscan e dashboard di terze parti sono diventate misure difensive standard mentre le campagne di phishing continuano a colpire i grandi detentori su Ethereum e le chain compatibili con EVM.

L'ultimo drenaggio di 25,6 milioni di dollari non ha prodotto un accordo di recupero comunicato. All'ultimo aggiornamento confermato, l'attaccante aveva convertito i WBTC, cbBTC, LDO, USDS e CRV rubati in DAI ed ETH.