以太坊巨鲸遭遇600万美元无Gas费钓鱼攻击
9月18日曝光的安全事件显示,攻击者正利用以太坊的便捷功能实施近乎零预警的精准打击。
无Gas费陷阱
受害者在批准一系列看似常规的钱包提示后,其质押的以太坊(stETH)和Aave平台封装的比特币(aEthWBTC)全部被盗。由于这些签名操作无需支付Gas费,交易最初并未引起警觉,数分钟内资产即被转移殆尽。
慢雾科技创始人余弦分析称,受害者可能误以为只是在确认无害请求。"感觉只是点击几次——没有任何费用产生——转眼间数百万资产就消失了。"
攻击者滥用了以太坊的Permit功能。该功能本是简化代币转账的工具,允许用户通过链下签名完成授权。当与TransferFrom功能结合时,这类授权一旦在链上执行,资金便会直接被掏空。待授权信息出现在钱包界面时,通常为时已晚。
钓鱼攻击呈蔓延趋势
这并非孤例。Scam Sniffer数据显示,8月成为有记录以来钓鱼攻击最猖獗的月份之一,超过1.5万个地址损失超1200万美元。其中仅三个钱包就占近半数损失,有个体在单次攻击中损失超300万美元。
研究人员指出,批量签名方案和恶意智能合约的兴起是案件激增的主因。攻击者越来越依赖社会工程学和欺骗性授权,而非复杂的技术漏洞或高昂的Gas费竞争。
高风险环境下的防护建议
安全专家强烈建议用户审慎处理钱包请求。特别是无限授权,仍是资产被盗的常见入口。连资金雄厚的资深投资者也频频中招,这暴露出当便利工具被滥用时,安全防线何其脆弱。
这起600万美元的盗窃案再次警示:在去中心化金融领域,最薄弱的环节往往不是代码本身,而是屏幕前的人类决策者。