Uniswapi kasutaja kaotas Ethereumis (ETH) üle 8 miljoni dollari pärast seda, kui ründaja kasutas pahatahtlikku lennupileti lepingut, et sihtida projekti likviidsuse pakkujaid (LP).
Petturlik lennupilet pakkus 400 tasuta UNI-märki väärtuses ligikaudu 2.000 dollarit. Kasutajatel paluti raha taotlemiseks linkida oma krüptovaluuta rahakotid. Kuid tänu keerukale andmepüügikampaaniale õnnestus ründajatel varastada üle 7.500 ETH.
Uniswap v3 protokoll
MetaMaski turvauurija Harry Denley sõnul saadeti umbes 73.399 XNUMX Uniswapiga seotud rahakotiaadressile pahatahtlik token, mis oli maskeeritud airdrop-märgiks.
Etherscanis juurutatud pahatahtlikku nutika lepingu koodi ei ole kinnitatud, mida seaduslikud projektid tavaliselt teevad. Nutikas lepingus sisalduv teave viis seejärel veebisaidini, mis lubab kasutajatel vahetada oma uusi žetoone Uniswapiga, igaüks väärtusega 5,34 dollarit.
Sõnumis väideti, et saadud võltsitud LP-märkide arvu alusel jagati UNI-märke likviidsuse pakkujatele.
Pahatahtlik UniswapLP-märk näis olevat pärit legitiimsest lepingust Uniswap V3: Positions NFT, manipuleerides plokiahela tehingute uurija väljaga "From".
Likviidsuse pakkuja on see, kes varustab oma krüptovarasid platvormile, et aidata kauplemist detsentraliseerida. Vastutasuks premeeritakse seda platvormil tehtud tehingutest saadud komisjonitasudega, mida võib pidada passiivse sissetuleku vormiks.
Pärast levitamist pettis häkker kasutajaid alla kirjutama tehingule, mis andis neile juurdepääsu kõigile kasutaja valduses olevatele Uniswap LP žetoonidele. Andmepüügisõnum andis tegelikult volituse aluseks olevale nutikale lepingule tegevused kasutaja rahakotist üle kanda ja täielikku kontrolli omandada.
Plokiahela andmed
Etherscani andmetel on andmepüügipettuse nutika lepinguga seni suhelnud üle 74.000 XNUMX rahakoti.
Üks inimene, kes pakkus üle 8 miljoni dollari väärtuses pakendatud Bitcoini (WBTC) ja USD münte (tsitaat USDC) WBTC/USDC likviidsusfondi, suhtles teadmatult andmepüügipettusega. Seejärel saavutas ründaja kontrolli portfelli üle, lahkus LP-positsioonidest ja eemaldas Uniswapilt kogu likviidsuse.
Plokiahela andmed näitavad ka, et ründaja alustas teisipäeval varastatud raha teisaldamist Tornado Cashi privaatsusprotokolli kaudu.
