$908K 被盗与 458 天前的钱包批准有关的网络钓鱼

在一个鲜明的提醒中，旧错误如何困扰Web3用户，一款加密钱包因网络钓鱼诈骗损失了超过$908,000的USDC。根据Scam Sniffer的帖子，这起盗窃是由受害者在458天前签署的一个批准引发的，这个批准早已被遗忘但仍然有效。攻击者利用该权限直接从受害者的钱包转移资金到一个网络钓鱼地址。

这笔交易发生在8月2日早些时候，是由一个被称为Pink Drainer的钓鱼操作团体执行的。该批准一直未被检查并保持开放，使得攻击者在时机来临时获得了完全的访问权限。

事情是如何发生的

智能合约授权允许去中心化应用 (dApps) 代表用户移动代币。虽然对去中心化金融至关重要，但这些权限会一直保持有效，直到手动撤销。在这种情况下，受害者在一年多前签署了一个授权。攻击者利用了这一访问权限，在一次交易中 siphoning 走了近一百万美元。

安全研究人员警告称，即使是旧的、看似无害的批准也可能被恶意行为者重新利用。只需要一次失误，一个恶意网站，一个假冒的dApp，或是一个过时的连接，攻击者就可以出手。

代币授权：一种隐秘的风险

许多用户忘记了智能合约的批准不是时间限制的。如果你曾经在 DeFi 应用程序上点击过“批准”，那么该权限可能仍然有效。这就是为什么安全专家敦促用户定期检查他们的代币授权。

为了安全，用户应该养成使用安全工具的习惯。Etherscan 的代币授权页面和 Debank 可以帮助用户检查和取消不必要的权限。这只需要几分钟，但可以节省数千。

不是第一，也不是最后

这一事件加入了越来越多类似案例的行列。在过去的一年中，几位用户因未撤销批准而损失了资金。诈骗嗅探器和其他链上监视工具，如PeckShield，已经多次标记利用遗忘钱包访问的钓鱼攻击。

这些网络钓鱼方案通常使用欺骗性的网站或链接来欺骗用户签署恶意授权。一旦授权，这些权限可能会静静地存在，直到骗子决定兑现。

谁是 Scam Sniffer？

Scam Sniffer 是一家专注于检测诈骗和教育加密用户的 Web3 安全公司。他们的浏览器扩展和警报帮助用户在为时已晚之前发现钓鱼陷阱。他们的早期警告使事件浮出水面，加强了持续警惕的必要性。

保持安全，保持更新

为了保护他们的钱包，用户应该采取一些关键的预防措施。首先检查一下您旧的代币授权；撤销那些您不再使用的授权可以在骗子出手之前阻止他们。无论智能合约提示看起来多么合法，都不要盲目签署。如果您正在处理真实的价值，硬件钱包可以提供额外的保护层，这是难以超越的。

而且不要忽视像 Revoke.cash 或 Scam Sniffer 浏览器扩展这样的工具，它们就像你 Web3 生活的杀毒软件。毕竟，你去年忘记的授权可能就是明天会耗尽你钱包的那个。