Skript, ktorý si prepočítal presnú sumu
V stredu prišiel jeden držiteľ kryptomien o 999 999 USDT po tom, ako podpísal podvodné schválenie tokenov v sieti Ethereum. Na prípad upozornila bezpečnostná služba Scam Sniffer, ktorá sleduje phishingové útoky priamo na blockchaine.
Priebeh útoku bol nepríjemne precízny. Útočníci sa najprv pokúsili stiahnuť zaokrúhlený jeden milión dolárov cez takzvané multicall transakcie, lenže operácia zlyhala, pretože v peňaženke nebolo dosť prostriedkov. O pár sekúnd neskôr si automatizovaný program upravil zadanie a vybral presne to, čo tam ostalo.
„Skript si prepočítal sumu a stiahol presný zostatok,“ uviedla spoločnosť Scam Sniffer. Celý presun sa odohral v troch transakciách, ktoré sú dodnes viditeľné v prehliadači Etherscan.
Čo je „schválenie tokenov“ a prečo je to pasca
Vysvetlime si to jednoducho. Keď v decentralizovanej aplikácii chcete vymeniť tokeny, musíte jej dať povolenie, aby s vašimi mincami mohla narábať. Toto povolenie sa volá token approval, teda schválenie tokenov. Problém je v tom, že mnohé aplikácie si pýtajú neobmedzený prístup, a používateľ pritom vidí len nenápadné okno s tlačidlom „schváliť„.
Obeť je presvedčená, že klikom potvrdzuje drobnosť. V skutočnosti však podvodníkovi odovzdáva kľúč od trezoru. Útočník potom nemusí robiť nič, stačí mu spustiť automatického „zametača„, ktorý peňaženku vyprázdni v momente, keď sa na nej objavia prostriedky.
Presne tak dopadol aj iný používateľ začiatkom júla. Po pripojení k falošnej burze podpísal škodlivý kontrakt a prišiel o 1,65 milióna dolárov.
„Schválenie dalo útočníkom neobmedzený prístup, čo umožnilo automatizovanému skriptu vyčerpať prostriedky,“ upozornil výskumník Ryan Coleman.
Jeho odporúčanie je jednoduché, ale málokto ho dodržiava, čiže overujte kontrakty a rušte staré, nepoužívané schválenia.
A wallet holder lost $1.65M after connecting to a fake exchange and signing a malicious contract. The approval gave attackers unlimited access, enabling an automated sweeper to drain funds. Always verify contracts and revoke unused token approvals. pic.twitter.com/MbwJx2CHSe
— Ryan C. Coleman (@RyanColeXBT) July 3, 2026
Lov na veľryby namiesto masových kampaní
Čísla ukazujú, že phishing zostáva jednou z najdrahších hrozieb v kryptosvete. Podľa spoločnosti CertiK dosiahli straty z phishingu v prvom polroku 2026 celkovo 366 miliónov dolárov naprieč 63 incidentmi. Zaujímavé je, že počet útokov medziročne klesol o viac ako polovicu, avšak objem ukradnutých peňazí sa znížil len o necelých 11 percent. Štyri incidenty pritom stáli za približne 85 percentami všetkých strát.
Inými slovami, útočníci prestali strieľať naslepo a začali si vyberať. Namiesto tisícok drobných obetí sa sústreďujú na niekoľko bohatých peňaženiek. Bezpečnostní analytici tento posun nazývajú lovom na veľryby. Celkovo pritom Web3 sektor v prvom polroku 2026 prišiel o 1,31 miliardy dolárov v 344 bezpečnostných incidentoch.
Analytická firma Chainalysis v júni uviedla, že podvody na blockchaine zarobili útočníkom v roku 2025 najmenej 14 miliárd dolárov. Dominovali investičné podvody, pričom schválenie tokenov býva ich technickým finále.
„Podvodníci opakovane používajú tie isté peňaženky, legitímne funkcie kontraktov aj rovnaké cesty na vyplatenie peňazí, takže každé hlásenie odhalí širšiu sieť,“ povedal Renato Bastos, hlavný vyšetrovateľ spoločnosti Chainalysis.
Otrávené adresy a obrana, ktorá naozaj funguje
Schválenie tokenov nie je jediný trik. Rozšírené je aj takzvané otrávenie adresy. Podvodník vytvorí peňaženku, ktorej adresa sa na prvý aj posledný pohľad podobá na tú vašu, a pošle na ňu zanedbateľnú sumu. Používateľ neskôr skopíruje adresu z histórie transakcií, nevšimne si rozdiel v strede reťazca a peniaze odošle priamo podvodníkovi.
Populárna peňaženka MetaMask preto v júni spustila živú detekciu otrávených adries, ktorá porovnáva každú vloženú adresu s tými, s ktorými peňaženka už v minulosti komunikovala.
Scam Sniffer odporúča držiteľom kryptomien tri veci:
- Po prvé, každú žiadosť o podpis si prečítať dvakrát.
- Po druhé, nikdy sa neponáhľať, keďže tlak na rýchlosť je typickým znakom podvodu.
- A po tretie, používať rozšírenia prehliadača na detekciu podvodných stránok.
Sú to banálne kroky, tak či onak by boli v oboch spomínaných prípadoch stačili na záchranu miliónov.
Informácie v článku nie sú investičným odporúčaním. Kryptomeny sú vysoko rizikové aktíva a ich hodnota môže výrazne kolísať.
Top burzy
