En ukjent kryptobruker mistet $ 999 999 i USDT til et Ethereum-phishingangrep etter å ha signert en falsk token-godkjenningsforespørsel.
On-chain-data viser at angriperne delte opp de stjålne midlene i tre transaksjoner. Overføringene havnet i Ethereum-blokkene 25489460 og 25489463 i løpet av minutter etter signaturen.
Phishing ved godkjenning av tokens er fortsatt en av de mest vedvarende truslene i desentralisert finans. Angripere trenger ikke offerets private nøkler for å stjele midler. I stedet lurer de brukere til å signere en forespørsel som gir en kontrakt bred tilgang til en token. Godkjenningen forblir gyldig til noen trekker den tilbake.
Slik foregår Ethereum-phishingangrep
Dette mønsteret har rammet kryptobrukere gjentatte ganger frem til 2026. Offerets lommebok hadde ubegrenset tillatelse for tokenen, noe som ga angriperen rom til å handle uten videre bekreftelse. I mai tappet et falskt Uniswap-phishingside rundt $ 400 000 fra flere lommebøker etter at besøkende godkjente en ondsinnet kontrakt. Et falskt airdrop-godkjenningssvindel rammet en HyperSwap-bruker på lignende måte denne måneden. Svindelen tømte lommeboken hans i løpet av sekunder etter kun ett klikk.
Multicall-funksjoner gjorde tyveriet raskere
I dette tilfellet brukte angriperen Multicall-funksjoner for å samle flere handlinger i én transaksjon. Denne strukturen lot angriperen flytte de godkjente USDT på sekunder. Beløpet ble deretter delt opp i tre separate utbetalinger nesten umiddelbart.
Dermed ble offerets mulighet til å trekke tilbake tillatelsen kraftig begrenset. Lommebokens private nøkler forble urørte under hele angrepet. Standard varslinger fra lommebøker varsler derfor sjelden om denne typen utnyttelser.
Metoden gjenspeiler også taktikken bak nylige wallet address poisoning-svindler, da angripere utnytter transaksjonsstruktur fremfor å stjele innloggingsdetaljer. Scam Sniffer knyttet dessuten en 200 % økning i phishingtap i år til et økt fokus mot høyt verdsatte lommebøker.
Sikkerhetsanalytikere advarer om å være forsiktig med signering
Etter tyveriet gjentok Scam Sniffer-analytikere oppfordringen om at kryptobrukere alltid må verifisere hver signaturforespørsel før de bekrefter. Selskapet anbefaler å sjekke den nøyaktige kontraktadressen samt hvilke rettigheter en lommebok faktisk gir bort. Brukere bør unngå å godkjenne forespørsler som standard. Å trekke tilbake ubrukte eller ubegrensede tillatelser regelmessig er fortsatt et av de enkleste forsvarene mot denne type angrep.
Hendelsen minner også om en MetaMask-phishingkampanje som ble avslørt i januar, hvor falske to-faktor-prompter ble brukt for å unngå mistanke. Lommebokleverandører fortsetter å legge til nye sikkerhetstiltak. Likevel påpeker analytikere at ingen grensesnittendring fullt ut erstatter grundig lesing av hva en signatur faktisk autoriserer.
Gapet mellom én signatur og en tømt lommebok blir stadig mindre for Ethereum-brukere etter hvert som phishing-taktikker blir mer automatiserte.
