安全警报：恶意授权漏洞成新型加密诈骗手段

近日，区块链安全机构Salus在其社交平台发布一则关键安全警报，揭露了一个自称“X Money出金桥”的项目——Revenue Family的潜在风险行为。该事件的核心在于一种被称为“恶意授权”（Malicious Approval）的攻击手法，直接威胁到用户的USDG资产安全。

攻击手法揭秘：签名与转账的致命组合

根据Salus披露的技术细节，此次攻击流程异常隐蔽且高效：

  • 诱导授权： 攻击者首先诱导用户在不知情或误解的情况下，为某个智能合约签署一个“permit”签名。
  • 获取无限额度： 该签名被恶意合约利用，从而获得了从用户地址转移USDG稳定币的无限授权额度。
  • 闪电式盗取： 最关键的一步在于，攻击者在同一笔区块链交易内，立即调用transferFrom函数，将已获得授权的用户资金转走。

这种“授权即盗取”的模式几乎没有给用户留下任何反应时间。被盗资金随后被分割，按比例流入两个不同的攻击者地址。

项目方前后矛盾，加剧用户疑虑

更令社区不安的是Revenue Family项目方在事件前后的矛盾表态。就在安全警报发布前几天，该项目曾发布公告，声称其社交媒体账号被“内部审核人员”盗用，并同时暂停了兑换服务。公告还特别强调，市场上流通的“REV”代币并非其官方发行。

这种先否认关联资产，再被曝出安全漏洞的系列操作，使得项目的可信度大打折扣。安全专家提醒，这通常是问题项目转移视线或推卸责任的常见话术。

如何保护你的加密资产？

面对日益复杂的智能合约交互风险，用户需要提升自身的安全意识：

  • 谨慎签署任何授权： 在连接钱包、签署交易时，务必仔细阅读授权内容，特别是授权额度和授权对象。对于要求“无限授权”的请求应保持高度警惕。
  • 使用授权管理工具： 定期使用区块链浏览器或专门的授权查询工具，检查并撤销不再使用或可疑的合约授权。
  • 验证项目信息： 对于任何新项目或服务，应通过多个官方渠道交叉验证其真实性，对单方面的、尤其是涉及安全问题的公告持审慎态度。

本次Revenue Family事件再次敲响警钟，在追求DeFi便利性的同时，对底层合约交互权限的管理是用户必须掌握的核心安全技能。