Χάκερ κλέβουν 8 εκατομμύρια δολάρια στο Ethereum στην τελευταία επίθεση ηλεκτρονικού ψαρέματος Uniswap

Χάκερ έκλεψαν 8 εκατομμύρια δολάρια σε ETH στην τελευταία επίθεση phishing στο Uniswap αφού απέκτησαν πρόσβαση στα LP μέσω ενός κακόβουλου συμβολαίου airdrop, οπότε ας ρίξουμε μια πιο προσεκτική ματιά στο σημερινό νέα κρυπτογράφηση.

Μια απάτη phishing που πρόσφερε ένα δόλιο airdrop κατάφερε να κλέψει από τους χρήστες Uniswap κεφάλαια 8 εκατομμυρίων δολαρίων και η απάτη υποσχέθηκε δωρεάν airdrop 400 UNI Tokens αξίας 2200 $, οπότε ζητήθηκε από τους χρήστες να συνδέσουν τα πορτοφόλια τους και να υπογράψουν τη συναλλαγή για να διεκδικήσουν το airdrop. Πριν από τη σύνδεση, ο χάκερ άρπαξε τα χρήματα των χρηστών μέσω ενός κακόβουλου έξυπνου συμβολαίου. Περισσότερα από 74,000 πορτοφόλια έχουν αλληλεπιδράσει με το έξυπνο συμβόλαιο απάτης σύμφωνα με τα δεδομένα στο Etherscan. Ο χάκερ ανέπτυξε ακόμη και το έξυπνο συμβόλαιο στις 11 Ιουλίου.

Ο κωδικός δεν επαληθεύτηκε για το έξυπνο συμβόλαιο που αναπτύχθηκε στο Etherscan, κάτι που κάνουν τα περισσότερα έργα που είναι πραγματικά νόμιμα. Μετά την ανάπτυξη, για τη συλλογή αυτών των airdropped token, ο χάκερ εξαπάτησε τους χρήστες για να υπογράψουν συναλλαγές, αλλά αυτή η συναλλαγή χρησίμευσε ως έγκριση και έδωσε στον χάκερ πρόσβαση στα Uniswap LP tokens που κατείχε ο χρήστης.

Όταν ο χρήστης προσθέτει ρευστότητα στο Uniswap, μπορεί να λάβει LP Tokens ως αντάλλαγμα ως αναπαράσταση των θέσεων ρευστότητας και αυτά τα διακριτικά μπορούν να μεταφερθούν όπως άλλα NFT. Μέσω μιας συναλλαγής έγκρισης, το τρίτο μέρος μπορεί να δαπανήσει χρήματα για λογαριασμό του χρήστη. Αφού αποκτήσουν πρόσβαση από άλλες συναλλαγές, οι χάκερ κλέβουν 8 εκατομμύρια δολάρια με το να μπορούν να μεταφέρουν τα LP Tokens στο πορτοφόλι του και να αποσύρουν τη ρευστότητα από το Uniswap. Ο χάκερ κέρδισε 7500 ETH από το exploit ως δημιουργός του Uniswap Χέιντεν Άνταμς πρόσθεσε:

«Επρόκειτο για μια επίθεση phishing που είχε ως αποτέλεσμα την αφαίρεση ορισμένων LP NFT από άτομα που ενέκριναν κακόβουλες συναλλαγές. Εντελώς ξεχωριστό από το πρωτόκολλο.»

Πρώην μηχανικός στο Metamask, ο Χάρι Ντένλι πρόσθεσε:

"Από το μπλοκ 151,223,32, υπήρξαν 73,399 διευθύνσεις στις οποίες έχει σταλεί ένα κακόβουλο διακριτικό για να στοχεύσουν τα περιουσιακά τους στοιχεία, υπό την εσφαλμένη εντύπωση ενός $UNI airdrop με βάση τα LP τους."

Ώρες μετά το tweet του Denly, ο Διευθύνων Σύμβουλος της Binance Changpeng Zhao εξέφρασε την άποψή του για το θέμα και ισχυρίστηκε ότι έγινε εκμετάλλευση του πρωτοκόλλου DEX. Αργότερα μετά τις διευκρινίσεις από την ομάδα, επιβεβαίωσε ότι όντως επρόκειτο για απάτη phishing:

"Αυτό φαίνεται σαν ένα απίστευτα ανεύθυνο πράγμα να κάνεις tweet, ήταν μια καμπάνια phishing, όχι μια εκμετάλλευση του κώδικα Uniswap v3."

Ωστόσο, ένας άλλος χρήστης έγραψε στο Twitter μετά το tweet του Zhao:

"Ας συμφωνησουμε στο οτι διαφωνουμε. Προσωπικά πιστεύω ότι όταν έχεις κοινό [6 εκατομμυρίων] ανθρώπων δεν πρέπει να κυκλοφορείς σκορπώντας πανικό χωρίς να επαληθεύσεις πρώτα την ιστορία σου».