イーサリアムの大口保有者がフィッシング攻撃により約2560万ドルを失い、同じウォレットから3年未満の期間で2度目となる大規模な資金流出が発生しました。

被害者はWBTC、cbBTC、LDO、USDS、CRVを失い、その後盗まれた資産はDAIおよびETHに変換されました。オンチェーン調査者のSpecterは、今回の窃盗を攻撃者アドレス0x8fEB...F95Aeにまで追跡しました。

同じ大口保有者は2023年9月に悪意のあるトークン承認に署名した後、約2420万ドルを奪われており、その後これらの資金の約90%は返還されました。

攻撃者が盗難資産をDAIとETHに変換

今回の流出は、単一のポジションではなく、主要なイーサリアムトークンに分散した資産を対象としていました。WBTCとcbBTCはビットコインへのエクスポージャーを提供し、ウォレットはLDO、USDS、CRVも保有していました。

盗まれたトークンはその後DAIとETHにスワップされ、窃盗後にポジションが統合されました。多様な保有資産をETHやステーブルコインなどの流動性の高い基軸資産に変換することは、資金の移動を簡素化し、オンチェーンでの追跡を複雑にする一般的な事後悪用手順です。今回の攻撃においては、返還協定や復旧に関する公的な兆候は現れていません。

CertiKは独立して約2500万ドルが同じ被害者アドレスから流出したことを追跡し、これを2023年以来当該ウォレットで発生した2度目の大規模な流出と特定しました。

今回の窃盗は、ウォレットセキュリティにとって再び困難な時期に発生しました。7月には30件の主要な暗号資産ハッキングが2億1030万ドルの損失を発生させ、プロトコルやブリッジの悪用と並んで、ウォレット固有の侵害は損失の主要な原因であり続けています。

同じウォレットが2023年に2420万ドルを流失

被害者は2023年9月7日に、悪意のあるincreaseAllowanceトランザクションに署名した後、攻撃者にトークンを移動する権限を付与したことで被害を受けました。トークン承認の悪用は特に危険であり、単一の送金を実行するのではなく、攻撃者アドレスに継続的な使用権限を委任するため、被害者は資産がすでに移動し始めるまでウォレットが侵害されていることに気づかない可能性があります。

この攻撃では9,579 stETHと4,850 rETHが除去され、当時の価値で約2420万ドルに相当しました。Scam Snifferは後にこのアドレスを2023年の最大規模のフィッシング被害者の一つとしてリストアップし、窃盗は具体的にIncrease Allowanceの署名に関連付けられていました。

これらの資産の約90%は最終的に2023年の攻撃者によって返還されました。

したがって、2件の攻撃は別々のインシデントを通じて同じウォレットから合計約4980万ドルの総額を除去したことになります。ただし、この数値は最初の窃盗の大部分が復旧されているため、当該ウォレットの恒久的な純損失として扱うべきではありません。

侵害されたウォレットの再利用は長期的なエクスポージャーをもたらす可能性

2度目の流出は、脆弱なシード生成に関与するColdcard攻撃などの最近のハードウェアウォレットの障害とは異なります。2023年の損失は、予測可能な秘密鍵ではなく、悪意のあるオンチェーンの許可が関与していました。

別のLedgerユーザーは、フィッシングサイトに復元フレーズを入力した後、100万ドル以上を失っており、攻撃者がウォレットの保護を迂回する別の経路を示しています。

悪意のある承認に署名したことのあるウォレットは、それらの許可が積極的に取り消されない限り、隠れた使用権限を保持し続ける可能性があり、これが文書化された2023年の侵害を持つウォレットが依然として実行可能なターゲットであり続けた理由を説明する可能性があります。Etherscanのトークン承認チェッカーやサードパーティのダッシュボードなどの承認取り消しツールは、フィッシングキャンペーンがイーサリアムおよびEVM互換チェーン全体の大口保有者を標的にし続ける中、標準的な防御手段となっています。

今回の2560万ドルの流出は、開示された復旧協定をもたらしていません。最新の確認された更新時点で、攻撃者は盗まれたWBTC、cbBTC、LDO、USDS、CRVをDAIとETHに変換していました。