一名身份未明的加密货币用户，因签署了一份虚假代币授权请求，导致其价值 999,999 美元的 $USDT 被以太坊网络上的钓鱼攻击者窃取。
链上数据显示，攻击者将盗取的资金分拆为三笔转账，分别在以太坊区块 25489460 与 25489463 内完成。整个过程仅在用户签名后数分钟内迅速完成。
代币授权钓鱼，是当前去中心化金融（DeFi）领域最为常见且持续存在的网络安全威胁之一。攻击者无需窃取受害者私钥，只需诱骗用户签署一份赋予恶意合约广泛权限的授权请求。只要授权未被主动撤销，对方便可随时转移相应代币。
以太坊钓鱼攻击揭秘
这种攻击模式自 2026 年以来已多次重创加密用户。本次事件中，受害者的钱包对目标代币设置了“无限授权”，使攻击者得以在无需任何额外确认的情况下完成操作。5 月份，一假冒 Uniswap 钓鱼网站就曾在用户授权恶意合约后，迅速盗取了约 400,000 美元数字资产。本月早些时候，一起伪装空投钓鱼骗局以同样手法席卷 HyperSwap 用户；受害者仅点击一次，钱包资产就被秒清。
Multicall 函数加速资金转移
此次攻击中，黑客利用 Multicall 函数，将多步操作合并为单笔交易。这种方式极大提升了盗转 $USDT 的速度，仅数秒钟内便将赃款拆分为三路转出。
超高转移效率让受害者几乎没有撤销授权的时间窗口。整个过程并未触及受害者私钥，因此主流钱包几乎无法及时识别、预警此类新型攻击。
该手法与近期钱包地址投毒传统诈骗类似：攻击者侧重利用交易结构漏洞，而非凭证盗取。调查机构 Scam Sniffer 指出，2024 年以来，随着新技术向高额地址渗透，加密投资者在此类钓鱼攻击中的损失额同比激增 200%。
安全分析师警告：签名请求须严谨核查
本起事件后，Scam Sniffer 安全专家再次呼吁广大加密用户：每次签署请求前，务必核查合约地址与权限范围。严格避免随手通过任何授权请求。建议用户定期自查，主动撤销未使用或“无限授权”权限授权，以此减少被黑风险。
类似事件还包括今年 1 月揭露的MetaMask 钓鱼活动，攻击者利用伪造“两步验证”弹窗，进一步麻痹用户警惕性。尽管各大钱包厂商不断强化安全功能，但分析师指出：唯有仔细阅读每一次签名授权内容，才能真正守护币安。
随着钓鱼手法自动化升级，对于以太坊用户而言，“一个授权签名与钱包被清空”的距离正日益缩短。
