Haker zarobił 1,2 miliona dolarów dzięki jednemu tweetowi na koncie dyrektora generalnego Robinhood

Ktoś włamał się w czwartek na konto X Vlada Teneva i wykorzystał je do uruchomienia fałszywej monety memowej. Zanim ktokolwiek się zorientował, atakujący ukradł około 650 ETH, czyli kwotę od 1,2 do 1,3 miliona dolarów.

W poście twierdzono, że token o nazwie Vladhood (VLAD) jest „oficjalną maskotką” Robinhood Chain, sieci Ethereum warstwy 2, która została uruchomiona 1 lipca. Poinformowano również, że VLAD będzie dostępny w aplikacji Robinhood. Żadne z tych stwierdzeń nie było prawdziwe. W ciągu 20 minut post miał ponad 175 000 wyświetleń, a użytkownicy już zaczęli kupować. Wolumen obrotu tokenem na platformie Uniswap osiągnął 22 miliony dolarów w ciągu kilku godzin – co świadczy o tym, jak szybko na Twitterze o kryptowalutach zmienia się sytuacja, gdy „zweryfikowane” konto publikuje adres kontraktu.

Spryt nie tkwi w hakowaniu. Przejęcia kont w celu wymuszenia fałszywych tokenów sięgają lat wstecz – Sydney Sweeney, 50 Cent, standardowa lista. Różnica polega na tym, jak wypłynęły pieniądze. VLAD został uruchomiony za pośrednictwem Pons, platformy startowej, która blokuje płynność, ale nadal pozwala każdemu, kto wdrożył funkcję token pull, na handel opłatami. Nie było więc klasycznego „rug pull”, żadnego opróżnienia puli za jednym zamachem. Atakujący po prostu wielokrotnie wywoływał funkcję pobierania opłat i pozwalał jej wysysać ETH, podczas gdy token nadal handlował pod spodem. Zanim konto komunikacyjne Robinhood opublikowało ostrzeżenie i tweet zniknął, pieniądze już zniknęły. Eksplorator Robinhood Chain od tego czasu oznaczył kontrakt jako oszustwo.

Tenev odzyskał swoje konto i powiedział ludziom, że „czeka na szczegóły” od X, a jeśli ma to jakiekolwiek znaczenie w tym momencie, to Robinhood nie wyemitował żadnej własnej monety.

Jest coś niepokojącego w tym momencie. Robinhood zbudował ten łańcuch, aby promować tokenizowane akcje i aktywa świata realnego. Zamiast tego, memecoiny praktycznie go przejęły. Sieć realizuje miliony transakcji dziennie, a większość z nich nie dotyczy aktywów ważonych ryzykiem (RWA).

Konto Teneva nie było nawet w najgorszym stanie tego dnia. Lookonchain zgłosił trzy oddzielne exploity, które miały miejsce w ciągu około 24 godzin – AFX Trade, Verus i B² Network – łącznie 35,55 miliona dolarów. Most Arbitrum firmy AFX Trade stracił 24,15 miliona dolarów w USDC po tym, jak ktoś zhakował klucze podpisu walidatora. Verus został ponownie zaatakowany – jego most Ethereum stracił 7,54 miliona dolarów, zaledwie dwa miesiące po niemal identycznym exploicie na 8 milionów dolarów w maju. Blockaid twierdzi, że oba ataki wykorzystały ten sam kontrakt, tę samą ścieżkę wejścia i ten sam błąd. Nikt nie naprawił tego za pierwszym razem. B² Network stracił około 3,86 miliona dolarów na swoim własnym tokenie, szybko sprzedanym BNB Chain.

Ludzie nazywają to „Dniem Hakerów”, trochę żartem. Cztery incydenty, cztery różne mechanizmy – przejęte konto, dwa exploity mostu, jeden zrzut tokenów. Nie do końca jedna historia. Ale za każdym razem wygląda to tak samo: znaleźć to, czego nikt nie obserwuje wystarczająco uważnie – klucz prywatny, zestaw walidatorów, funkcję opłaty za platformę startową i wyciągnąć.