Een Ethereum-whale is ongeveer $25,6 miljoen kwijtgeraakt bij een phishingaanval, wat de tweede grote tap uit dezelfde wallet in minder dan drie jaar markeert.

Het slachtoffer verloor WBTC, cbBTC, LDO, USDS en CRV voordat de gestolen activa werden omgezet in DAI en ETH. Onchain-onderzoeker Specter traceerde de diefstal naar het aanvallersadres 0x8fEB...F95Ae.

Dezelfde whale werd in september 2023 voor ongeveer $24,2 miljoen getapt na het ondertekenen van een kwaadaardige token-goedkeuring, hoewel ongeveer 90% van die middelen later werd teruggegeven.

Aanvaller zet gestolen activa om in DAI en ETH

De tap verwijderde activa die over meerdere belangrijke Ethereum-tokens waren verspreid in plaats van één enkele positie. WBTC en cbBTC boden Bitcoin-blootstelling, terwijl de wallet ook LDO, USDS en CRV bevatte.

De gestolen tokens werden vervolgens omgewisseld in DAI en ETH, waarbij de positie na de diefstal werd geconsolideerd. Het omzetten van diverse bezittingen in liquide basisactiva zoals ETH en stablecoins is een veelvoorkomende stap na exploitatie die de verplaatsing van middelen vergemakkelijkt en onchain-tracering bemoeilijkt. Er is geen publieke indicatie van een teruggaveakkoord of herstel naar voren gekomen uit de nieuwste aanval.

CertiK traceerde onafhankelijk ongeveer $25 miljoen dat hetzelfde slachtoffersadres verliet, en identificeerde dit als de tweede grote tap van de wallet sinds 2023.

De nieuwste diefstal komt tijdens een andere moeilijke periode voor walletbeveiliging. Dertig grote crypto-hacks veroorzaakten in juli $210,3 miljoen aan verliezen, terwijl wallet-specieke compromitteringen een belangrijke bron van verliezen zijn gebleven, naast protocol- en bridge-exploits.

Dezelfde wallet verloor $24,2 miljoen in 2023

Het slachtoffer werd eerder getroffen op 7 september 2023 na het ondertekenen van een kwaadaardige increaseAllowance-transactie die een aanvaller toestemming gaf om zijn tokens te verplaatsen. Token-goedkeuringsexploits zijn bijzonder gevaarlijk omdat ze doorlopende uitgavenbevoegdheid delegeren aan een aanvallersadres in plaats van een enkele overdracht uit te voeren, wat betekent dat slachtoffers mogelijk niet beseffen dat hun wallet is gecompromitteerd totdat activa al in beweging zijn.

Die aanval verwijderde 9.579 stETH en 4.850 rETH, destijds gewaardeerd op ongeveer $24,2 miljoen. Scam Sniffer vermeldde het adres later als een van de grootste phishingslachtoffers van 2023, waarbij de diefstal specifiek werd gekoppeld aan een Increase Allowance-handtekening.

Ongeveer 90% van die activa werd uiteindelijk teruggegeven door de aanvaller uit 2023.

De twee aanvallen hebben daardoor samen ongeveer $49,8 miljoen aan brutowaarde uit dezelfde wallet verwijderd over afzonderlijke incidenten, hoewel dat bedrag niet moet worden behandeld als het permanente nettoverlies van de wallet omdat het grootste deel van de eerste diefstal is hersteld.

Hergebruik van een gecompromitteerde wallet kan langdurige blootstelling veroorzaken

De tweede tap verschilt van recente hardware-walletstoringen zoals de Coldcard-aanvallen met kwetsbare seed-generatie. Het verlies in 2023 betrof een kwaadaardige onchain-machtiging in plaats van voorspelbare privésleutels.

Een andere Ledger-gebruiker verloor meer dan $1 miljoen na het invoeren van een herstelzin op een phishingsite, wat een andere route demonstreert die aanvallers gebruiken om walletbeveiligingen te omzeilen.

Wallets die eerder kwaadaardige goedkeuringen hebben ondertekend, kunnen verborgen uitgavenmachtigingen behouden tenzij deze toekenningen actief worden ingetrokken, wat kan verklaren hoe een wallet met een gedocumenteerde compromittering in 2023 een levensvatbaar doelwit bleef. Intrekkingshulpmiddelen voor goedkeuringen, zoals de token-goedkeuringscontrole van Etherscan en dashboards van derden, zijn standaard defensieve maatregelen geworden nu phishingcampagnes zich blijven richten op grote houders op Ethereum en EVM-compatibele chains.

De nieuwste tap van $25,6 miljoen heeft niet geleid tot een bekendgemaakt herstelakkoord. Bij de laatste bevestigde update had de aanvaller de gestolen WBTC, cbBTC, LDO, USDS en CRV omgezet in DAI en ETH.