Трейдер потерял почти $1 млн после одобрения фишингового разрешения токена в сети Ethereum

Пользователь криптовалют лишился почти $1 млн после того, как в сети Ethereum подписал вредоносное разрешение на работу с токеном. Об этом сообщила команда Scam Sniffer со ссылкой на данные ончейн-отслеживания. Случай показывает, что фишинговые "approve"-транзакции превращаются из разовых уловок в воспроизводимый сценарий кражи. По данным Scam Sniffer, ущерб составил 999&999 USDT (USDT) и был связан с фишинговым одобрением. Сначала злоумышленник попытался вывести средства через multicall-запросы, но операция не прошла из-за недостаточного остатка. Спустя секунды последовали дополнительные переводы, которые успешно забрали оставшиеся средства. Ключевые моменты — Одно нажатие "approve" для токена в Ethereum может дать атакующему широкие полномочия на расходование средств, что позволяет быстро вывести активы через автоматизированные переводы. — Схема часто многошаговая: первичная попытка через multicall может завершиться неудачей, но последующие транзакции все равно способны обнулить кошелек. — Фишинг разрешений остается массовой тактикой в ончейн-экосистемах мошенничества, включая инвестиционные аферы. — Исследователи отмечают повторное использование одних и тех же кошельков и паттернов разрешений: один выявленный эпизод может указывать на более широкую сеть. — Дополнительный риск создает "отравление адресов" (address poisoning): к скопированным и вставленным адресам, а также данным контрактов и кошельков, следует относиться особенно внимательно. Как работала кража на почти $1 млн Механика строится вокруг разрешений токенов, которые внешне выглядят как обычная операция. Жертву убеждают подписать транзакцию, предоставляющую злоумышленнику право тратить токены или перенаправлять средства из кошелька. Такое "разрешение" могут подать как небольшой технический шаг — например, для перевода, взаимодействия или "верификации" — но фактически оно может открыть широкие или длительные права доступа, которыми атакующий тут же воспользуется. В описанном случае скрипт, по данным Scam Sniffer, пересчитал текущий остаток после первой неудачной попытки вывода и затем забрал ровно ту сумму, которая оставалась. Это позволило не угадывать содержимое кошелька: исполнение подстраивалось в реальном времени для максимального изъятия средств. На Etherscan активность отражена тремя транзакциями, итогом которых стало списание 999&999 USDT. Почему фишинг через approve продолжает приносить результат Речь идет не о новой уловке, а о повторяющемся паттерне. По данным CertiK, приведенным в материалах, в 2025 году потери от фишинга составили $723 млн по 248 инцидентам. Типовая конструкция одинакова: социальная инженерия подталкивает пользователя нажать "approve", после чего право расходования получает контракт под контролем злоумышленников. Эти цифры важны тем, что указывают на системность проблемы. Для преступников такой подход масштабируется: после выдачи разрешений можно выводить балансы без дальнейших действий со стороны жертвы. В отрасли масштабы потерь остаются высокими: в тексте также говорится, что криптосектор за первое полугодие зафиксировал $366 млн потерь от фишинга, что подчеркивает место permission-мошенничества в более широкой волне ончейн-обмана. Повторное использование кошельков и паттернов разрешений Риски растут, когда злоумышленники применяют одну и ту же инфраструктуру. Ранее в этом месяце сообщалось о другом эпизоде: жертва потеряла $1,65 млн после подключения к поддельной бирже и подписания вредоносного контракта. В том случае, как отмечал исследователь Ryan Coleman, выданное разрешение обеспечило "неограниченный доступ" и позволило автоматическому "sweeper"-скрипту вывести средства. Chainalysis ранее оценивала, что ончейн-мошенничество в 2025 году привлекло как минимум $14 млрд, а инвестиционные схемы остаются доминирующей категорией. В материалах Chainalysis по approval-фишингу говорится, что разрешения — один из способов перевода инвестиционного обмана из социальной инженерии в автоматизированную ончейн-кражу. Компания также указывала, что преступники повторно используют кошельки, опираются на легитимные механики разрешений в контрактах и применяют устойчивые маршруты вывода средств. Повторяемость имеет практическое значение: один публичный кейс может означать не одиночную атаку, а целую кампанию. В исходных материалах приводится цитата старшего следователя Chainalysis Ренато Бастоса (Renato Bastos): каждое выявленное сообщение способно раскрыть более широкую сеть, поскольку мошенники воспроизводят одни и те же кошельки и операционные цепочки. Косвенные признаки — повторяющиеся подписи разрешений, схожие контрактные шаблоны и методы "осушения" кошельков. "Отравление адресов" как дополнительная угроза Фишинговые approve-транзакции — не единственный способ кражи. Отдельно упоминается address poisoning: злоумышленники создают адреса, визуально похожие на легитимные, и отправляют на них небольшие "пылевые" (dust) суммы. Когда пользователь копирует и вставляет адрес, такой "похожий" адрес может оказаться в буфере или в истории, из-за чего перевод уйдет атакующему. Риск особенно заметен там, где по-прежнему часто используют ручной copy/paste. В тексте отмечается, что MetaMask в июне запустил живое обнаружение address poisoning: инструмент сравнивает вставляемый адрес с адресами, с которыми кошелек уже взаимодействовал, и пытается отмечать подозрительные новые адреса, соответствующие типичным шаблонам обмана. На что обратить внимание дальше Инциденты уровня 999&999 USDT обычно быстро множатся, когда злоумышленники оттачивают исполнение и повторно используют кошельки и скрипты. Пользователям стоит внимательно относиться к любым запросам подписи, связанным с разрешениями токенов, не подтверждать операции на скорости и по возможности подключать инструменты обнаружения угроз. Команды безопасности и ончейн-аналитики, вероятно, продолжат искать повторяющиеся "draining"-скрипты и общую инфраструктуру, чтобы выявлять кампании до того, как они расширятся.