Слухи в крипто распространяются быстро. Вчера шепот об эксплуатации Venus Protocol вызвал шоковые волны по всему X. Сначала некоторые думали, что сам кредитный протокол был взломан.
Но часы совместного анализа прояснили ситуацию, Venus не был взломан. Вместо этого, фишинговая атака поймала кита, выкачав активы на 27 миллионов долларов одной плохой транзакцией.
Это не был сбой протокола. Это была человеческая ошибка. И это яркое напоминание о самой большой слабости DeFi: один неосторожный клик может уничтожить состояние.
Жертва одобрила вредоносную транзакцию с поддельного сайта. Эта единственная подпись дала одноразовому кошельку атакующего, 0x7fd8…202a, неограниченный доступ к его токенам.
Как только одобрение было предоставлено, атакующий нанес удар мгновенно. Активы исчезли за секунды. Согласно Cyvers Alerts
И вот что было выкачано:
19,8M долларов vUSDT
7,15M долларов vUSDC
146K долларов vXRP
22K долларов vETH
Даже 285 BTCB на BNB Chain
Богатство поколений исчезло. Вот так просто.
Дикая часть: Venus никогда не был взломан
Venus Protocol подтвердил на X
что их контракты были в безопасности. Фронтенд? В порядке. Никаких уязвимостей смарт-контракта. Никаких эксплойтов кода.
Это была чистая социальная инженерия. Поддельная ссылка, доверенный клик, и бум, открытые одобрения сделали остальное.
Это темная сторона силы DeFi. Неограниченные одобрения токенов делают DeFi бесшовным и быстрым. Но они также превращают каждый кошелёк в бомбу замедленного действия, если одобрения попадают в неправильные руки.
Реакция сообщества: Шок и сочувствие
Крипто Twitter загорелся реакциями. Некоторые выразили сочувствие киту; другие увидели в этом еще одно предупреждение.
Он отметил, как атакующие терпеливо ждут одного неосторожного момента. Фишинговая ссылка, вероятно, циркулировала в течение нескольких дней, прежде чем жертва нажала на нее.
Venus Protocol с тех пор приостановил части платформы, работая напрямую с жертвой. Варианты восстановления остаются скудными, но усилия продолжаются.
Почему фишинг продолжает побеждать в DeFi
DeFi устраняет посредников. В этом красота и опасность. Вы держите ключи. Вы подписываете транзакции. Нет службы поддержки клиентов, если что-то пойдет не так.
Фишеры используют это идеально:
- Поддельные сайты копируют настоящие пиксель в пиксель.
- Боты Twitter отвечают под официальными объявлениями с "срочными" ссылками.
- Неограниченные одобрения означают, что атакующим нужен доступ только один раз.
В TradFi банки могут отменить мошеннические переводы. В DeFi неизменность блокчейна означает, что как только активы покидают ваш кошелёк, они исчезают.
Извлеченные уроки: Как оставаться в безопасности
Инцидент с Venus подчеркивает простые, но критические шаги безопасности:
1. Не доверяйте случайным ссылкам. Всегда вводите URL-адреса вручную или добавляйте в закладки официальные сайты.
2. Дважды проверяйте каждую транзакцию. Читайте одобрения перед подписанием, бесконечный доступ к токенам рискован.
3. Регулярно отзывайте старые одобрения. Инструменты вроде Revoke.cash делают это легким.
4. Используйте аппаратные кошельки. Они добавляют физический шаг подтверждения, который атакующие не могут обойти.
Фишеры процветают на бычьих рынках, когда кошельки становятся толстыми. Они знают, что жадность убивает осторожность. Не давайте им возможности.
Более широкая картина: Социальная инженерия против смарт-контрактов
Эта атака показывает, где действительно лежат риски DeFi.
Смарт-контракты становятся сильнее. Эксплойты протоколов, хотя все еще происходят, снизились по сравнению с 2021-22 годами.
Люди, с другой стороны, остаются самым слабым звеном.
Фишерам не нужно взламывать код, когда они могут взломать доверие. Поддельное всплывающее окно MetaMask. Ссылка в Twitter, обещающая "аирдропы". Один момент отвлечения может стоить миллионы.
Эксперты по безопасности утверждают, что образование имеет большее значение, чем новые технологии. Улучшения UX кошелька, более четкие предупреждения об одобрении и лучшее обнаружение мошенничества могут помочь. Но в конечном счете, самостоятельное хранение сопряжено с самостоятельной ответственностью.
Будут ли средства восстановлены?
Venus Protocol подтвердил общение с жертвой. Усилия по возврату активов продолжаются, но реалистично, средства, выкачанные в кошельки, контролируемые атакующим, редко возвращаются.
Иногда атакующие ведут переговоры о возвратах, похожих на выкуп, но пока нет никаких признаков этого. Активы могут скоро смешаться через мосты и миксеры, что затруднит отслеживание.
Заключительные мысли: Сигнал к пробуждению для пользователей DeFi
Это был не просто еще один заголовок об эксплойте. Это напоминание о том, что безопасность DeFi начинается с пользователя.
Протоколы могут быть пуленепробиваемыми. Аудиты могут пройти. Но один плохой клик все еще может выкачать миллионы.
По мере разогрева бычьего рынка ожидайте больше попыток фишинга. Больше поддельных аирдропов. Больше ботов Twitter со срочными ссылками.
- Не становитесь следующим заголовком.
- Дважды проверяйте. Часто отзывайте. Оставайтесь параноиками.
- Потому что в DeFi вы учите этот урок только один раз.
Раскрытие информации: Это не торговый или инвестиционный совет. Всегда проводите собственное исследование перед покупкой любой криптовалюты или инвестированием в любые услуги.
Следите за нами в Twitter @nulltxnews чтобы быть в курсе последних новостей о Крипто, NFT, ИИ, Кибербезопасности, распределенных вычислениях и Метавселенной!
Source: https://nulltx.com/27m-gone-in-seconds-venus-protocol-user-hit-by-phishing-attack/
