В понедельник фишинговая афера с предложением мошеннического airdrop смогла лишить пользователей Uniswap почти 8 миллионов долларов США.

Фишинговая афера обещала бесплатную раздачу 400 токенов UNI (стоимостью около 2200 долларов США). Пользователям предлагалось подключить свои криптокошельки и подписать транзакцию, чтобы получить вредоносный airdrop. После подключения неизвестный хакер завладевал средствами пользователей с помощью вредоносного смарт-контракта.

На сегодняшний день, согласно данным Etherscan, более 74 000 кошельков взаимодействовали со смарт-контрактом фишинговой аферы.

По данным Etherscan, 11 июля 2022 года хакер развернул вредоносный смарт-контракт.

Примечательно, что код смарт-контракта, развернутого на Etherscan, не был проверен - то, что делают большинство легитимных проектов.

Для получения своих токенов, полученных пользователями в рамках airdrop, хакер обманом заставил пользователей подписать транзакцию. Вместо этого транзакция выполняла функцию одобрения, предоставляя хакеру доступ ко всем токенам Uniswap LP (Liquidity Pool), принадлежащим пользователю.

Каждый раз, когда пользователи добавляют ликвидность в Uniswap, они получают взамен токены LP, представляющие их позиции ликвидности. Эти токены, как и все другие NFT, могут передаваться и используют стандарт токенов ERC-721.

Таким образом, через транзакцию одобрения третья сторона (в данном случае хакерский кошелек) может тратить средства от имени пользователя.

Получив доступ от предыдущей транзакции одобрения, хакер перевел все токены LP на свой кошелек и вывел всю ликвидность из Uniswap.

Источник (Eng.): https://decrypt.co/104916/hackers-nab-8m-ethereum-uniswap-phishing-attack

#cybersecurity #defi #ethereum #uniswap #фишинг #инцидент