承認署名から408日後、被害者が33万ドルのフィッシング詐欺師に損失

Web3詐欺防止プラットフォームのScam Snifferによる報告によると、1人が1年以上前に相互作用したフィッシング承認により、33万ドルを失った。 

Etherscanによると、被害者はこの脆弱性によりAAVEトークンで合計329,743ドルを失った。この事件のもっとも特筆すべき事実の一つは、フィッシング承認が2024年2月10日午前0時51分（UTC）に408日前に署名されていたことである。これにより、詐欺師は被害者のウォレットへのアクセス権を得た。

盗難は2025年3月24日午前0時35分（UTC）まで発生せず、その際、攻撃者は1,999.23 AAVEトークン（価値329,743ドル）を単一のトランザクションで移転した。

盗難以前、標的ウォレットにはAAVEが527,498ドル相当保有されていた。ハッカーが完了した時点では、被害者は197,755ドルしか残っていなかった。

ウォレットにはLPTなどの他の資産も含まれていた。しかし、ハッカーは被害者のAAVEトークンのみを移動した。これは、移転において標的とされた唯一のトークンだったためである。

ハッカーは未だ特定されておらず、被害者は現在、盗まれた資金の回復手段が限られている。

承認フィッシング詐欺は暗号通貨保有者にとって深刻な脅威である

Chainalysisによる報告によると、暗号通貨空間は2021年5月以来、承認フィッシング詐欺により約10億ドルを失っており、2023年だけでも3億7,400万ドルが失われた。

承認フィッシングという詐欺手法は長年存在していたが、詐欺師は歴史的に偽の暗号通貨アプリの拡散を通じて暗号通貨ユーザーを標的としていた。空間が進化するにつれ、その手法はさらに効果的になっている。

通常、詐欺師は偽の投資機会を提供したり、他人になりすましたりして、被害者を騙して暗号通貨を送金させる。しかし、承認フィッシング詐欺の場合、詐欺師はユーザーを騙して悪意のあるブロックチェーントランザクションに署名させ、詐欺師のアドレスに対して被害者のウォレットから特定のトークンを使用する承認を与える。これにより、詐欺師は被害者のアドレスからそのトークンを自由に引き出すアクセス権を得る。

一般的に、承認フィッシャーは被害者の資金を、承認を与えたアドレスとは別のウォレットに送金する。オンチェーンのパターンでは、通常、被害者アドレスが2番目のアドレスに対して資金を使用する承認を行うトランザクションに署名し、その後、承認されたspenderアドレス（2番目のアドレス）がトランザクションを実行して資金を新しい宛先アドレスに移動する。

メタマスクのシニアセキュリティリサーチャー、テイラー・モナハン（別名@tayvano_）は、カスタムDune Analyticsダッシュボードを用いて、ロマンス詐欺スタイルの承認フィッシングを追跡している一人である。

これらのロマンス詐欺師の被害者は、2021年5月以来、承認フィッシング詐欺により約10億ドルを失ったと報告されている。10億ドルという合計額はオンチェーンパターンに基づく推定値であり、その一部はすでに詐欺師が管理している資金の洗浄を表している可能性があることに注意することが重要である。

これは、ロマンス詐欺が notoriously 未報告であり、その結果をもたらした分析が限られた報告事例のセットから始まったためである。

承認フィッシング詐欺の大部分は、非常に成功した少数のアクターによって行われていると考えられており、この問題に対処する方法は、ユーザー教育からパターン認識戦術の採用まで多岐にわたる。