Хакер заробив 1,2 мільйона доларів на одному твіті в акаунті генерального директора Robinhood

У четвер хтось зламав обліковий запис X Влада Тенева та використав його для запуску підробленого мемкоїна. На той час, як хтось помітив це, зловмисник встиг забрати приблизно 650 ETH, що становить від 1,2 до 1,3 мільйона доларів.

У дописі стверджувалося, що токен під назвою Vladhood (VLAD) є «офіційним талісманом» Robinhood Chain, мережі Ethereum другого рівня компанії, яка запрацювала 1 липня. Також йшлося про те, що VLAD буде розміщено в додатку Robinhood. Жодне з цих повідомлень не було правдою. Протягом 20 хвилин допис мав понад 175 000 переглядів, і люди вже купували. Обсяг торгів токеном на Uniswap досяг 22 мільйонів доларів протягом кількох годин, що говорить про те, як швидко рухається криптовалютний Twitter, коли «перевірений» обліковий запис публікує адресу контракту.

Хитра частина не в хаку. Захоплення облікових записів, що просувають фальшиві токени, сягають років у давнину — Сідні Суїні, 50 Cent, звичайний список. Різниця тут у тому, як надходили гроші. VLAD був запущений через Pons, лаунчпад, який блокує ліквідність, але все ще дозволяє тому, хто розгорнув вилучення токенів, стягувати комісії за торгівлю. Тож не було жодного класичного вилучення килимків, жодного спустошення пулу одним ударом. Зловмисник просто неодноразово викликав функцію виведення комісій і дозволив їй витрачати ETH, поки токен продовжував торгуватися знизу. На той час, як обліковий запис зв'язку Robinhood опублікував попередження і опублікував твіт, гроші вже зникли. Дослідник Robinhood Chain з того часу позначив контракт як шахрайство.

__КОРОТКИЙ_ТОКЕН_0__

Тенев повернув свій обліковий запис і сказав людям, що він «чекає на подробиці» від X, і, як би це не коштувало на даний момент, Robinhood не випускав жодної власної монети.

Щось трохи дивне в цьому виборі часу. Robinhood створив цей ланцюжок, щоб просувати токенізовані акції та реальні активи. Натомість, мемкоїни фактично захопили його. Мережа здійснює мільйони транзакцій на день, і більшість із них не є ризиковими активами (RWA).

Того дня обліковий запис Тенева був ще не найгіршим. Lookonchain зафіксував три окремі експлойти, що сталися приблизно протягом 24 годин: AFX Trade, Verus та B² Network, на суму 35,55 мільйона доларів. Міст Arbitrum від AFX Trade втратив 24,15 мільйона доларів у USDC після того, як хтось скомпрометував ключі підпису його валідатора. Verus знову постраждав — його міст Ethereum втратив 7,54 мільйона доларів, лише через два місяці після майже ідентичного експлойту на 8 мільйонів доларів у травні. Blockaid стверджує, що обидві атаки використовували один і той самий контракт, один і той самий шлях входу, ту саму помилку. Ніхто не виправив це вперше. B² Network втратила приблизно 3,86 мільйона доларів у власному токені, який швидко був викинутий на BNB Chain.

__КОРОТКИЙ_ТОКЕН_1__

Люди називають це "Днем хакерів", напівжартома. Чотири інциденти, чотири різні механізми - викрадений обліковий запис, два експлойти мосту, один дамп токенів. Насправді це не одна історія. Але щоразу це одна й та сама форма: знайти ту єдину річ, за якою ніхто не стежить достатньо уважно - закритий ключ, набір валідаторів, функцію оплати запуску та витяг.