Eine über eine Phishing-Website signierte bösartige Freigabe
Ein Mandant verband seine Wallet mit einer scheinbar vertrauten Börsenoberfläche, die über ein gesponsertes Suchergebnis erreicht wurde, und signierte eine Transaktion, die einem vom Angreifer kontrollierten Vertrag eine unbegrenzte Ausgabefreigabe erteilte.
Die Ausgangslage
Ein Mandant verband seine Wallet mit einer scheinbar vertrauten Börsenoberfläche, die über ein gesponsertes Suchergebnis erreicht wurde, und signierte eine Transaktion, die einem vom Angreifer kontrollierten Vertrag eine unbegrenzte Ausgabefreigabe erteilte.
Die Herausforderung
Da der Mandant die Transaktion selbst signiert hatte, sah der erste Beweis identisch mit einer freiwilligen Überweisung aus, was eine sorgfältige Analyse erforderte, um den täuschenden Kontext nachzuweisen.
Die Untersuchung
Wir prüften die Freigabetransaktion, die Registrierungshistorie der Domain der Phishing-Website sowie die anschließenden Entnahmetransaktionen, die vom Vertrag des Angreifers ausgeführt wurden.
Ergebnisse
Der Vertrag des Angreifers hatte innerhalb derselben Woche ähnlich strukturierte Freigaben von mehr als einem Dutzend weiterer Wallets geleert, was auf eine aktive Phishing-Kampagne hindeutete.
Ausgang
Die Ergebnisse unterstützten den Widerruf der verbleibenden Freigaben des Mandanten, und die entnommenen Mittel wurden bis zu einer Einzahlungsadresse bei einer regulierten Börse zurückverfolgt. Wir verfolgten den Vorgang über das rechtliche Anfrageverfahren der Börse, was dazu führte, dass ein Teil des Guthabens im Namen des Mandanten wiederbeschafft wurde.
Erkenntnisse
Unbegrenzte Token-Freigaben sind eine häufige Angriffsfläche. Das regelmäßige Überprüfen und Widerrufen alter Freigaben gehört zu den einfachsten verfügbaren Vorsichtsmaßnahmen.
Wallet-Freigabe
Signiert über eine Phishing-Website, die eine Börse imitierte.
Befinden Sie sich in einer ähnlichen Situation?
Jeder Fall wird nach seinen eigenen Umständen bewertet. Erzählen Sie uns, was passiert ist.