Трейдер втратив майже $1 млн після схвалення фішингового дозволу токена в мережі Ethereum

Користувач криптовалюти втратив майже $1 млн після того, як у мережі Ethereum підтвердив шкідливий дозвіл на витрачання токенів. Про інцидент повідомив сервіс ончейн-моніторингу Scam Sniffer. Випадок демонструє, як фішингові "token approval" перетворюються з разових атак на відпрацьовані сценарії повторюваного викрадення коштів. За даними Scam Sniffer, збиток становив 999,999 USDT (USDT) і був пов'язаний із фішинговим approval в Ethereum. Зловмисник спочатку намагався вивести кошти через запити multicall, але операція не пройшла через недостатній баланс. Уже за кілька секунд відбулися наступні перекази, які забрали решту коштів із гаманця. Ключові моменти - Одне натискання "approve" для токена в Ethereum може надати атакувальнику широкі повноваження, після чого кошти виводяться швидко через автоматизовані перекази. - Схема може бути багатокроковою: перша спроба з multicall здатна зірватися, але подальші транзакції все одно спустошують гаманець. - Approval-фішинг залишається масовою тактикою в екосистемах ончейн-шахрайства, зокрема в інвестиційних аферах. - Дослідники зазначають, що шахраї часто повторно використовують однакові патерни гаманців, що дозволяє за одним кейсом ідентифікувати ширшу мережу активності. - Ризики посилює address poisoning: до скопійованих адрес і вставлених даних контрактів або гаманців варто ставитися з підвищеною обережністю. Майже $1 млн зник через "звичайний" дозвіл токена Механіка атаки ґрунтується на дозволах (approvals), які зовні виглядають рутинними. Жертву змушують підписати транзакцію, що надає зловмиснику право витрачати токени або маршрутизувати кошти з гаманця. Такий крок може подаватися як "активація", "верифікація" чи дозвіл на взаємодію з сервісом, але фактично відкриває доступ, який атакувальник одразу використовує. У цьому випадку, за даними Scam Sniffer, скрипт перерахував залишок на гаманці після першої невдалої спроби та вивів рівно ту суму, що залишалася. Отже, зловмиснику не потрібно було вгадувати баланс — виконання підлаштовувалося в реальному часі для максимального вилучення коштів. На Etherscan активність відображена трьома транзакціями, які завершилися виведенням 999,999 USDT. Чому approval-фішинг і далі працює Approval-фішинг — не нова схема, а стабільно повторюваний шаблон. За даними CertiK, на які посилаються у висвітленні теми, у 2025 році втрати від фішингу сягнули $723 млн у межах 248 інцидентів. Типова структура однакова: соціальна інженерія підводить користувача до "approve", після чого право витрачання переходить до контракту, який контролює атакувальник. Ці цифри важливі ще й тим, що проблема має системний характер. Для злочинців такий підхід добре масштабується: отримавши дозвіл на токени, вони можуть виводити баланси без подальшої взаємодії з жертвою. У матеріалі також зазначено, що крипторинок зафіксував $366 млн фішингових втрат у першій половині року, що підкреслює широту хвилі ончейн-шахрайства. Повторне використання гаманців і патернів дозволів Ризики зростають, коли зловмисники працюють через однакову інфраструктуру та повторюють типові сценарії. Раніше цього місяця повідомлялося про інший випадок: жертва втратила $1.65 млн після підключення до фальшивої біржі та підписання шкідливого контракту. У тій схемі approval надав "необмежений доступ", а автоматизований sweeper вивів кошти, зазначав дослідник Ryan Coleman. Chainalysis раніше повідомляла, що ончейн-шахрайство принесло щонайменше $14 млрд у 2025 році, а інвестиційні афери залишалися домінуючою категорією. У матеріалах Chainalysis про approval-фішинг пояснюється, що дозволи на витрачання — один зі способів, як інвестиційне шахрайство переходить від соціальної інженерії до автоматизованого ончейн-викрадення. Компанія також попереджала, що злочинці повторно використовують ті самі гаманці, експлуатують легітимну функціональність approvals у контрактах і застосовують сталі маршрути виведення коштів. Це змінює значення "одного репорту": якщо слідчі зіставляють повторювані дозволи, підписи та моделі виведення, вони можуть виявити не поодинокого атакувальника, а координовану мережу. Старший розслідувач Chainalysis Renato Bastos, як наводиться у висвітленні, пояснював, що кожен розкритий випадок здатен підсвітити ширшу схему через повторюваність гаманців та операційних маршрутів. Address poisoning додає ще один шар загроз Окрім approval-фішингу, у матеріалі згадується address poisoning. У такій схемі шахраї створюють адреси, схожі на легітимні, і надсилають невеликі "dust"-перекази на подібні адреси. Коли користувач копіює та вставляє адресу, є ризик помилково надіслати кошти зловмиснику замість потрібного отримувача. Загроза відчутніша в екосистемах, де ручне копіювання адрес залишається звичним процесом. Зазначається, що MetaMask у червні запустив функцію живого виявлення address poisoning. Інструмент порівнює вставлену адресу з адресами, з якими гаманець уже взаємодіяв, і намагається позначати підозрілі нові або несподівані адреси, характерні для обману. На що звертати увагу далі Інциденти на кшталт викрадення 999,999 USDT зазвичай поширюються швидко, коли зловмисники відточують виконання та повторюють патерни гаманців. Користувачам варто уважно ставитися до будь-яких запитів підпису, пов'язаних із token approvals, не поспішати з підтвердженням і за можливості використовувати інструменти виявлення загроз. Команди безпеки та ончейн-аналітики, ймовірно, й надалі відстежуватимуть повторювані draining-скрипти та спільну інфраструктуру, щоб ідентифікувати кампанії до їх масштабування.