Em uma reviravolta inesperada, um scammer que havia roubado US$ 24 milhões em criptomoedas de uma vítima em um ataque de phishing devolveu cerca de US$ 9 milhões em DAI. O incidente, que ocorreu em setembro de 2023, chamou a atenção pela devolução parcial dos fundos quase um ano depois.
💰 The scammer returned $9.27M in DAI to the victim.
(credits: @bax1337) https://t.co/xwSASQOUis pic.twitter.com/T5vF1Ak3wo
— Scam Sniffer | Web3 Anti-Scam (@realScamSniffer) July 13, 2024
Detalhes do ataque e devolução
O ataque de phishing, que ocorreu em setembro de 2023, resultou no roubo de 9.579 Lido Staked Ether (stETH) e 4.850 Rocket Pool (rETH) tokens, totalizando US$ 24,2 milhões na época.
the victim gave the token approvals to the scammer by signing "increaseAllowance" transactions.https://t.co/li9LfzKH0M
— Scam Sniffer | Web3 Anti-Scam (@realScamSniffer) September 7, 2023
O scammer conseguiu explorar uma vulnerabilidade conhecida como ‘Increase Allowance’, permitindo que ele tivesse acesso aos tokens da vítima. Este recurso ERC-20 permite que terceiros gastem os tokens de um proprietário, sendo frequentemente explorado por malfeitores para implantar contratos inteligentes maliciosos.
Dez meses depois, o scammer devolveu quase US$ 9,3 milhões em duas transações separadas, mostram dados do Etherscan. A primeira transferência, no valor de US$ 5,23 milhões, ocorreu em 8 de julho, seguida por outra de US$ 4,04 milhões em 13 de julho.
As transações foram feitas em DAI, uma stablecoin, através de um intermediário de protocolo de privacidade conhecido como Railgun Relay.
Motivações e implicações
A razão por trás da devolução dos fundos ainda não está clara. Em uma mensagem on-chain, o hacker se identificou e expressou a intenção de devolver o dinheiro. ‘Olá, eu sou a pessoa que pegou seu dinheiro’, escreveu ele. ‘Eu quero devolver o dinheiro’.
Essa ação inesperada levantou especulações sobre as motivações do scammer, que podem variar desde arrependimento até tentativas de evitar consequências legais.
Apesar da devolução parcial, a vítima ainda sofreu uma perda significativa. No momento do ataque, os 14.429 staked-Ether valiam US$ 24,2 milhões, mas seu valor atual seria de aproximadamente US$ 47,5 milhões. A devolução representa apenas 38,4% dos fundos originais, considerando os preços de setembro.
Este caso destaca os riscos contínuos associados aos ataques de phishing no espaço das criptomoedas. Segundo o relatório de 2023 da Scam Sniffer, os scammers de phishing roubaram quase US$ 300 milhões de 324.000 vítimas.
As estratégias para mitigar esses riscos incluem a conscientização dos usuários sobre as melhores práticas de segurança e a implementação de proteções robustas contra fraudes.
