UNI token空投钓鱼攻击成功窃取Uniswap 800万美元 - 嘶吼 RoarTalk – 回归最本质的信息安全,互联网安全新媒体,4hou.com

UNI token空投钓鱼攻击成功窃取Uniswap 800万美元

ang010ela 新闻 2022-07-18 12:00:00
收藏

导语:​UNI token空投钓鱼攻击成功从Uniswap窃取价值800万美元的以太币。

UNI token空投钓鱼攻击成功从Uniswap窃取价值800万美元的以太币。

Uniswap是一家去中心化的加密货币交易所,Uniswap是基于以太坊的协议,旨在促进ETH和ERC20 代币数字资产之间的自动兑换交易,可以在以太坊上自动提供流动性。

事件概述

7月11日,有Uniswap用户遭遇空投钓鱼攻击,累计被窃取7,574 ETH,价值约800万美元。Uniswap称协议本身是安全的,没有漏洞。

空投(airdrop),就是免费给区块链地址(公钥)发送代币。攻击者使用免费UNI token空投作为诱饵,诱使用户授权一个给与攻击者其钱包完全访问权限的交易。"setApprovalForAll"函数可以分为或吊销完全权限,使得攻击者可以赎回受害者钱包中的所有Uniswap v3 LP token为ETH。

Uniswap钓鱼

钓鱼攻击者创建了一个ERC token,并将其映射到持有UNI token的73399个用户。

Tokens sent to thousands of users

图 发送给上万个用户的诱饵token

目的是重定向接收者到域名为uniswaplp[.]com的垃圾邮件网站,该网站伪装成的是Uniswap官网域名uniswap.org。

攻击者发送给受害者"Uniswap V3: Positions NFT",目的是诱使用户允许授权操作。攻击者将合约的emit函数设置为错误数据,使区块浏览器将Uniswap显示为发送者。

Abusing the emit function in the contract

图 滥用合约的emit函数

因为真实发送者地址与emit函数之间没有验证机制,emit函数就会被滥用来欺骗交易日志中的实体。

点击"Click here to claim"按钮的用户认为会收到奖励,事实上点击后就授予了攻击者对其数字资产的完全访问权限。

 The fake token claim page with the transaction button

图 虚假token取回页面的交易按钮

加密货币钱包MetaMask已将Uniswap钓鱼攻击中使用的域名加入黑名单,以预防其他用户成为受害者。

MetaMask warning users of fraudulent website

图 MetaMask提醒钓鱼攻击威胁

如何应对

在接收空投时,在点击任何按钮前需要验证以确保网站的域名等信息。验证空投的源是避免成为垃圾邮件受害者的最好方式。


本文翻译自:https://www.bleepingcomputer.com/news/security/8-million-stolen-in-large-scale-uniswap-airdrop-phishing-attack/如若转载,请注明原文地址
  • 分享至
取消

感谢您的支持,我会继续努力的!

扫码支持

打开微信扫一扫后点击右上角即可分享哟

发表评论