不幸的钓鱼攻击受害者签署恶意“授权”签名后损失108万美元

据多家媒体报道，一名加密货币用户损失了价值约108万美元的Aave封装以太坊LBTC（aEthLBTC），这是一种在Aave协议上的代币化比特币资产，这很可能是一次钓鱼攻击所致。 

据ScamSniffer称，涉事用户签署了一个恶意的“permit”（授权）签名，这正是导致被盗的原因。该签名是一种链下批准机制，据称允许在不触发即时链上交易的情况下花费代币。 

ScamSniffer 分享 交易截图。关于受害者为何容易受到攻击，他们认为骗子会通过钓鱼网站或克隆的dApp诱使受害者签署授权，从而获得访问并清空钱包的权限。 

诈骗是如何发生的？ 

SlowMist创始人Cosine， 就此立法发表了评论。 在谈及战果时指出，此次攻击背后的特定钓鱼组织并非“主流”清仓机器人组织，这表明规模较小、技术高超的独立攻击者正在涌现。 

他们还行动迅速，迅速将资金转换为ETH，并通过Tornado Cash立即洗钱。 

该事件于1月3日由ScamSniffer在其X页面上突出显示，不久之后它发布了2025年年度报告。在 报告,正如Cryptoplitan审查的那样，报告显示加密货币钓鱼损失总体下降了83%，从4.94亿美元降至8400万美元。 

然而，报告强调， sophisticated 钱包清仓机器人仍然普遍存在。它们似乎正瞄准高价值持有者，采用基于授权的攻击，这在牛市期间很常见。 

基于授权的 exploit 依赖于用户对常规签名请求的信任，而这些请求实际上是在链下授权代币转移。不幸的是，对于此类诈骗，追回资金的可能性非常低，因为资金流失发生在链上，且交易不可逆转。 

加密货币钓鱼损失下降，但“扳手攻击”上升 

虽然ScamSniffer确认2025年加密货币钓鱼损失下降，但加密货币安全专家声称，所谓的“5美元扳手攻击”频率上升。 

加密货币分析公司TRM Labs的全球政策与政府事务主管Ari Redbord称，2025年是扳手攻击的创纪录年份，报告了约60起针对加密货币持有者的物理袭击，高于2024年的41起和2021年的36起。然而，Redbord认为实际发生的攻击数量要高得多。 

“许多事件仅被记录为抢劫或入室盗窃，省略了加密货币元素，而其他事件则因受害者犹豫不决或对执法部门如何处理加密货币相关犯罪的不确定性而未报案，”Redbord声称。

这种被称为“扳手攻击”的网络安全风险，其名称源于这样一个理念：即使是最复杂的加密形式和数据安全措施，也容易受到物理胁迫的影响——比如被“5美元扳手”威胁。 

这些攻击无疑比钓鱼 exploit 和协议黑客攻击更严重，因为它们不仅使资产面临风险，还危及生命，从而提高了维持适当操作安全（OPSEC）的重要性，超出了钱包管理最佳实践的范围。 

“无论你采取多少技术预防措施，或使用多少因素进行身份验证，没有任何个人能免疫于人为攻击向量，”Hybrid Minds Advisory首席执行官、前Secret Foundation主席Tor Bair表示。

尽管扳手攻击的真实数量难以量化，但似乎受害风险更高，或者至少对威胁的认识更强。

去年5月，法国内政部长Bruno Retailleau就该国加密货币相关袭击的增加发表讲话，当时该国发生了2025年约三分之一的扳手攻击，包括1月份高调的Ledger联合创始人David Balland及其妻子被绑架和虐待事件。