En hacker tjente 1,2 millioner dollars på ét tweet på Robinhoods administrerende direktørkonto

Torsdag brød nogen ind på Vlad Tenevs X-konto og brugte den til at lancere en falsk memecoin. Da nogen opdagede det, var angriberen stukket af med cirka 650 ETH, et sted mellem 1,2 og 1,3 millioner dollars.

Opslaget hævdede, at en token kaldet Vladhood (VLAD) var den "officielle maskot" for Robinhood Chain, virksomhedens Ethereum layer-2-netværk, der gik live den 1. juli. Det sagde også, at VLAD ville blive noteret på Robinhood-appen. Ingen af delene var sandt. Inden for 20 minutter havde opslaget over 175.000 visninger, og folk var allerede i gang med at købe. Uniswap-volumen på tokenen nåede 22 millioner dollars inden for få timer - hvilket fortæller noget om, hvor hurtigt krypto-Twitter bevæger sig, når en "verificeret" konto poster en kontraktadresse.

Den smarte del er ikke hackingen. Kontoovertagelser, der promoverer falske tokens, går år tilbage - Sydney Sweeney, 50 Cent, den sædvanlige liste. Det, der er anderledes her, er, hvordan pengene kom ud. VLAD blev lanceret gennem Pons, en launchpad, der låser likviditeten, men stadig lader den, der implementerede tokenen, trække handelsgebyrer. Så der var ingen klassisk rug pull, ingen dræning af puljen i ét skud. Angriberen kaldte bare gebyrudtrækningsfunktionen gentagne gange og lod den bløde ETH ud, mens tokenen fortsatte med at handle nedenunder. Da Robinhoods kommunikationskonto offentliggjorde en advarsel, og tweetet kom ned, var pengene allerede væk. Robinhood Chains explorer har siden sat et scam-tag på kontrakten.

Tenev fik sin konto tilbage og fortalte folk, at han "ventede på detaljer" fra X, og for hvad det end er værd på nuværende tidspunkt, at Robinhood ikke har udstedt nogen egen mønt.

Der er noget lidt ubehageligt ved timingen. Robinhood byggede denne kæde for at sælge tokeniserede aktier og aktiver i den virkelige verden. I stedet har memecoins stort set overtaget den. Netværket foretager millioner af transaktioner om dagen, og det meste af det er ikke RWA'er.

Tenevs konto var ikke engang den værste af det hele den dag. Lookonchain rapporterede tre separate exploits inden for cirka 24 timer, AFX Trade, Verus og B² Network, tilsammen 35,55 millioner dollars. AFX Trades Arbitrum-bro tabte 24,15 millioner dollars i USDC, efter at nogen kompromitterede dens valideringssigneringsnøgler. Verus blev ramt igen - dens Ethereum-bro tabte 7,54 millioner dollars, blot to måneder efter et næsten identisk exploit på 8 millioner dollars i maj. Blockaid siger, at begge angreb brugte den samme kontrakt, samme indgangssti, samme fejl. Ingen rettede det første gang. B² Network tabte cirka 3,86 millioner dollars i sin egen token, som blev dumpet hurtigt på BNB Chain.

Folk kalder det "Hackers' Day", halvt for sjov. Fire hændelser, fire forskellige mekanismer - en kapret konto, to bridge-angreb, et token-dump. Ikke rigtig én historie. Men det er den samme form hver gang: find den ene ting, som ingen holder nøje nok øje med - en privat nøgle, et valideringssæt, en launchpad-gebyrfunktion og pull.