Как бездействующее одобрение позволило осуществить взлом Ethereum на сумму 13,3 миллиона долларов

Старое одобрение токена Ethereum было скомпрометировано, что позволило злоумышленнику вывести $13.3М со счета за секунды после получения средств.

Кошелек Ethereum потерял около $13.3 миллиона за секунды после активации давно забытого одобрения токена.

Средства поступили через транзакцию абстракции аккаунта, и злоумышленник действовал немедленно. Данные блокчейна показывают, что кошелек незаметно предоставил права на расходование несколько недель назад.

Как только перевод был выполнен, одобрение позволило полный доступ без дополнительного подтверждения. Этот инцидент показывает, как неактивные разрешения могут оставаться активными и использоваться без предупреждения.

Кошелек получает средства и быстро выводит их

Жертва, идентифицированная как 0xba15E9b644685cB845aF18a738Abd40C6Bcd78eD, получила около $13.3 миллиона в одной транзакции.

Злоумышленник выполнил перевод с помощью механизма абстракции аккаунта, предназначенного для упрощения операций с кошельком.

Более того, записи блокчейна показывают, что средства поступили и были выведены злоумышленником в течение секунд. Быстрый тайминг не оставил шансов на ручное вмешательство или защитные меры.

Скорость вывода указывала на то, что злоумышленнику не нужны были новые разрешения. Он уже имел доступ до выполнения перевода.

Кроме того, службы безопасности подтвердили, что во время инцидента не было новых транзакций одобрения. Это исключает распространённые фишинговые или подписи-основанные атаки.

Следователи проанализировали историческую активность в блокчейне, связанную с этим кошельком. Их внимание переключилось на старые одобрения токенов, которые никогда не отзывались.

Этот анализ выявил более раннее одобрение, которое всё ещё позволяло сторонним лицам тратить средства. Это неактивное разрешение стало точкой входа для эксплуатации.

Старое одобрение позволило осуществить взлом

Следователи проследили корень проблемы до транзакции одобрения, сделанной 1 января 2026 года. Вызов предоставил права на расходование по адресу 0x616000e384Ef1C2B52f5f3A88D57a3B64F23757e.

На тот момент одобрение не вызывало общественного беспокойства. Разрешение оставалось активным и не отзывалось.

Старое одобрение обошлось в $13.3М.

Адрес жертвы 0xba15E9b644685cB845aF18a738Abd40C6Bcd78eD получил ~$13.3М через транзакцию абстракции аккаунта и был выведен за секунды.

Источник проблемы — вызов approve() сделанный 1 января 2026 года, предоставляющий права на расходование… pic.twitter.com/vDVhX8emXD

— QuillAudits 🥷 (@QuillAudits_AI) 26 января 2026 года

Адрес злоумышленника, 0x6cAad74121bF602e71386505A4687f310e0D833e, позже использовал это одобрение.

Это позволило полностью получить доступ к входящим средствам. Как только средства поступили, злоумышленник выполнил переводы без задержки. Он снял весь баланс одним скоординированным действием.

Движение средств после вывода

После вывода злоумышленник обменял украденные активы с токенов на WETH, а затем на ETH. Эти шаги снизили риск отслеживания на уровне токенов.

Злоумышленник затем переместил средства через несколько кошельков. Переводы были быстрыми и распределялись по нескольким адресам.

Этот метод создал сложный паттерн транзакций. Злоумышленники часто используют такие схемы, чтобы замедлить процессы отслеживания.

Анализ блокчейна показывает, что часть ETH остаётся на цепочке. Эти средства находятся на адресах, всё ещё связанных со злоумышленником.

Связанное чтение: Потери на сумму $25М: Machi ликвидирован за 1 000 ETH после падения рынка

Текущие наблюдения в цепочке

Обеспечивающие безопасность специалисты продолжают мониторинг кошельков, связанных со злоумышленником. Однако следователи не обнаружили использование микс-сервисов во время начальных перемещений.

Наличие средств в цепочке оставляет возможность для отслеживания. Аналитики полагаются на тайминг транзакций и связи между адресами.

Этот инцидент показывает, как старые одобрения могут оставаться активными. Владельцы кошельков часто забывают о таких разрешениях со временем. Этот случай добавляется к недавним случаям с устаревшими одобрениями. Он подчеркивает необходимость регулярных проверок разрешений.

По последним данным, транзакция восстановления средств не была выполнена. Украденные средства остаются под контролем злоумышленника.