Hacker stehlen ETH im Wert von 8 Millionen Dollar via Uniswap Phishingangriff

Wichtige Erkenntnisse:

• Angreifer machten sich mit mehr als 7.500 ETH davon.
• Der betrügerische Airdrop behauptete, UNI-Token an Liquiditätsanbieter basierend auf der Anzahl der erhaltenen Token aus der Luft zu werfen.
• Mehr als 74.000 Wallets haben bisher mit dem Phishing-Betrugs-Smart-Vertrag interagiert.

EIN Uniswap Der Benutzer hat über 8 Millionen US-Dollar verloren Ethereum (ETH), nachdem ein Angreifer einen böswilligen Airdrop-Vertrag verwendet hatte, um die Liquiditätsanbieter (LPs) des Projekts anzugreifen.

Der betrügerische Airdrop bot 400 kostenlose UNI-Token im Wert von rund 2.000 US-Dollar an, und die Benutzer wurden gebeten, ihre Krypto-Geldbörsen zu verbinden, um Geld zu beanspruchen. Die ausgeklügelte Phishing-Kampagne ließ Angreifer jedoch mit über 7.500 ETH davonkommen.

Anzeige

Uniswap v3-Protokoll

Laut einem Sicherheitsforscher von MetaMask, Harry Denley, sind rund 73.399 Wallet-Adressen verbunden Uniswap wurde ein böswilliger Token gesendet, der sich als Token-Airdrop tarnt.

Der Code im böswilligen Smart Contract, der auf Etherscan bereitgestellt wird, wurde nicht verifiziert, was bei legitimen Projekten normalerweise der Fall ist. Informationen im Smart Contract führten dann zu einer Website, die es Benutzern angeblich ermöglichte, ihre neuen Token einzutauschen Uniswapim Wert von jeweils 5,34 $.

Die Nachricht behauptete, UNI-Token an Liquiditätsanbieter abzuwerfen, basierend auf der Anzahl der gefälschten LP-Token, die sie erhalten hatten.

Das bösartige UniswapLP-Token schien von einem legitimen 'Uniswap V3: Positioniert den NFT-Vertrag durch Manipulation des Felds „Von“ im Blockchain-Transaktions-Explorer.

Ein Liquiditätsanbieter ist jemand, der seine Krypto-Assets einer Plattform zur Verfügung stellt, um bei der Dezentralisierung des Handels zu helfen. Im Gegenzug werden sie mit Gebühren belohnt, die durch Trades auf der Plattform generiert werden, was als eine Form von passivem Einkommen angesehen werden kann.

Nach der Bereitstellung brachte der Hacker Benutzer dazu, eine Transaktion zu signieren, die dem Hacker Zugriff auf alle gewährte Uniswap Vom Benutzer gehaltene LP-Token. Dies liegt daran, dass die Phishing-Nachricht dem zugrunde liegenden Smart Contract die Erlaubnis erteilt hat, Vermögenswerte aus der Brieftasche eines Benutzers zu übertragen und die volle Kontrolle darüber zu erlangen.

Blockchain-Daten

Nach Angaben von Etherscan haben bisher mehr als 74.000 Wallets mit dem Phishing-Betrug Smart Contract interagiert.

Eine Person, die verpackte Bitcoin (WBTC) und USD im Wert von über 8 Millionen US-Dollar zur Verfügung stellte coin (USDC) an einen WBTC/USDC-Liquiditätspool, unwissentlich mit der Phishing-Nachricht interagiert. Der Angreifer erlangte dann die Kontrolle über die Brieftasche, verließ die Positionen der LP und zog die gesamte Liquidität ab Uniswap.

Blockchain-Daten zeigen weiter, dass der Angreifer am Dienstag damit begann, gestohlene Gelder über das Datenschutzprotokoll Tornado Cash zu bewegen.

Uniswap v3-Protokoll