交易員在以太坊誤批釣魚代幣授權　損失近100萬美元USDT

據鏈上安全團隊 Scam Sniffer 分享的追蹤資料，一名加密貨幣用戶在以太坊簽署惡意代幣授權（token approval）後，資金被迅速抽走，損失達 999,999 USDT。事件再次反映「授權式釣魚」正由一次性詐騙演變成可複製的盜款流程。 Scam Sniffer 指出，攻擊者先以 multicall 方式嘗試掃走資金，但因餘額不足而未能完全成功；數秒後即改以後續轉帳補刀，把錢包餘下資產全部轉走。Etherscan 顯示，整個盜取過程涉及三筆交易，最終被抽走的金額正是 999,999 USDT。 事件關鍵在於：在以太坊上一次「Approve」往往可授予合約對代幣的支出權限，若授權對象是惡意合約，攻擊者可在毋須受害者再次互動的情況下，以自動化方式快速轉移資金。Scam Sniffer 亦提到，相關腳本會即時計算受害者錢包剩餘餘額，並在首次抽款未能清空後，立即把「剩下的精準金額」再次拉走，毋須估算錢包內實際資產。 授權釣魚之所以屢禁不止，原因在於其手法並不新，但極具規模化能力：詐騙者透過社交工程引導受害者按下「批准」，實際上把代幣支出能力交給攻擊者控制的合約。報道引述 CertiK 數據稱，2025 年釣魚造成的損失累計達 7.23 億美元、涉及 248 宗事件；另有資料顯示，行業在上半年錄得 3.66 億美元釣魚損失，反映授權型詐騙是更大規模鏈上欺詐浪潮的一部分。 研究人員同時警告，詐騙集團常重用錢包、合約授權模式及套現路線，令「單一個案」可能只是更大行動網絡的一角。月內亦曾出現另一宗相關事件：受害者連接偽冒交易所並簽署惡意合約後損失 165 萬美元，研究員 Ryan Coleman 指該授權提供了「無限存取」，配合自動掃款程式完成盜取。Chainalysis 早前亦估算 2025 年鏈上詐騙至少吸金 140 億美元，投資騙局仍屬主要類別；該機構亦指出，授權釣魚可把社交工程轉化為自動化鏈上盜款。Chainalysis 資深調查員 Renato Bastos 在相關報道中提到，每次揭發的個案都可能牽出更廣泛網絡，因為詐騙者會重複使用相同錢包與操作路徑。 除授權釣魚外，「地址投毒」（address poisoning）亦加劇風險：騙徒製造與常用地址相似的錢包，並向其發送少量「塵埃」轉帳，令用戶在複製貼上地址時誤把資金轉到冒牌地址。報道提到，MetaMask 已於 6 月推出即時地址投毒偵測，會把用戶貼上的地址與錢包過往互動地址作比對，以提示可疑的新地址。 市場觀察人士認為，隨着攻擊者持續優化腳本並重用基礎設施，類似 999,999 USDT 的授權盜款個案或會更頻密出現。用戶應特別留意所有涉及代幣授權的簽名請求，避免匆忙確認，並審慎核對授權範圍及收款地址，必要時配合偵測工具降低風險。