En tant que nouvelle tactique, les draineurs de portefeuille utilisent désormais Multicall, une fonctionnalité légitime d'Uniswap V3, pour contourner les mesures de sécurité et mener des attaques de phishing avancées. C’est cette stratégie qui a récemment entraîné le déplacement de 85 Lido ETH d’une victime malheureusement attirée par les actions frauduleuses.
Comment le pirate informatique a-t-il fait ??
L'expérience de la victime illustre la tendance croissante des pirates informatiques à utiliser à mauvais escient les signatures de permis qui font apparaître le dépensier comme le contrat Uniswap Multicall pour un transfert d'actifs non autorisé.
La plateforme anti-arnaque Web3, Scam sniffer, a alerté la communauté avec cette dernière action d'escrocs. Avec l'aide de la fonction globale de Multicall composée de fonctionnalités d'autorisation et de transfert, le draineur a exécuté la transaction furtivement et avec succès auprès de la victime, qui a perdu 85 Lido ETH, soit près de 269 620 s selon les taux du marché.
Pour ne pas être détecté par les robots MEV (Miner Extractable Value), l'attaquant a également effectué des contrôles pour garantir l'authenticité de l'adresse d'origine, ce qui en retour a masqué l'activité de l'attaquant et rendu le processus d'identification plus difficile.
Bien que différentes contre-mesures aient été mises en place pour faire face à ce type de menace, la course à l’avant s’est avérée être un obstacle insurmontable.
Se protéger d'une telle attaque
Les développeurs ont réagi à cela en activant une nouvelle version du contrat Multicall avec des contrôles d'autorisation améliorés pour garantir que les tentatives préliminaires n'auront plus lieu. Les utilisateurs de crypto se doivent d'agir avec prudence et de ne donner aucune approbation symbolique à Uniswap Multicall ou plutôt à des contrats similaires.
Étant donné que la fonction d’approbation des jetons ERC est inhérente à la nature d’un environnement sans autorisation, les attaques de phishing peuvent être assez difficiles à combattre efficacement.
À mesure que l’écosystème cryptographique continue de se développer, il est essentiel de rester conscient des meilleures pratiques de sécurité en restant à l’écart des acteurs malveillants, ainsi que de maintenir la confiance dans le système financier décentralisé. Soyez informé et restez en sécurité!