慢霧：29枚Moonbirds NFT被盜事件溯源分析_TPS

原文作者：山哥&耀@慢霧安全團隊

NFT，價值超70萬美元，釣魚網站目前已無法訪問。該用戶表示，域名sarek.fi和p2peers.io都曾在過去的黑客事件中被使用。

搜集相關信息

慢霧安全團隊收到相關情報并針對此次被盜事件進行朔源分析。

我們開始在Twitter上搜集并分析此釣魚事件的相關信息時，發現@Dvincent_?就是黑客的Twitter賬號，目前該賬戶已經被注銷。而根據5月10日的記錄，推特用戶?@just1n_eth就表示?@Dvincent_?曾與其聯系交易BAYCNFT，但由于對方堅持使用p2peers.io，交易最后并未達成。

5月25日晚，@0xLosingMoney?繼續在Twitter公布了黑客的錢包等相關信息。

下面是?@0xLosingMoney?給出的黑客地址：

?0xe8250Bb4eFa6D9d032f7d46393CEaE18168A6B0D

?0x8e73fe4d5839c60847066b67ea657a67f42a0adf

?0x6035B92fd5102b6113fE90247763e0ac22bfEF63

慢霧：BXH 第一次被盜資金再次轉移，BTC 網絡余額超 2700 BTC:金色財經報道，10月8日凌晨（UTC+8），慢霧監控到 BXH 第一次被盜資金再次出現異動，經慢霧 MistTrack 分析，異動詳情如下：

黑客地址 0x48c9...7d79 將部分資金（213.77 BTCB，5 BNB 和 1 ETH）轉移至新地址 0xc01f...2aef，接著將資金兌換為 renBTC 跨鏈到 BTC 網絡，跨鏈后地址為 1JwQ...u9oU。1JwQ...u9oU 在此次轉移中接收到的總資金為 204.12 BTC。截止目前，BXH 第一次被盜事件在 BTC 網絡共有 4 個黑客地址，總計余額為 2701.3 BTC，暫未進一步轉移。慢霧 MistTrack 將持續監控被盜資金的轉移。[2022/10/8 12:49:28]

?0xBf41EFdD1b815556c2416DcF427f2e896142aa53

?0x29C80c2690F91A47803445c5922e76597D1DD2B6

根據網頁快照可以發現https://p2peers.io/的前端代碼，其中主要的JS代碼是“js/app.eb17746b.js”。

慢霧：2021年上半年共發生78起區塊鏈安全事件，總損失金額超17億美元:據慢霧區塊鏈被黑事件檔案庫統計，2021年上半年，整個區塊鏈生態共發生78起較為著名的安全事件，涉及DeFi安全50起、錢包安全2起，公鏈安全3起，交易所安全6起，其他安全相關17起，其中以太坊上27起，幣安智能鏈(BSC)上22起，Polygon上2起，火幣生態鏈(HECO)、波卡生態、EOS上各1起，總損失金額超17億美元(按事件發生時幣價計算)。

經慢霧AML對涉事資金追蹤分析發現，約60%的資金被攻擊者轉入混幣平臺，約30%的資金被轉入交易所。慢霧安全團隊在此建議，用戶應增強安全意識，提高警惕，選擇經過安全審計的可靠項目參與；項目方應不斷提升自身的安全系數，通過專業安全審計機構的審計后才上線，避免損失；各交易所應加大反洗錢監管力度，進一步打擊利用加密資產交易的洗錢等違規行為。[2021/7/1 0:20:42]

由于已經無法直接查看JS代碼，利用?Cachedview?網站的快照歷史記錄查到在2022年4月30日主要的JS源代碼。

通過對JS的整理，我們查到了代碼中涉及到的釣魚網站信息和交易地址。

在代碼912行發現approve地址：

慢霧：BTFinance被黑，策略池需防范相關風險:據慢霧區情報，智能DeFi收益聚合器BT.Finance遭受閃電貸攻擊。受影響的策略包括ETH、USDC和USDT。經慢霧安全團隊分析，本次攻擊手法與yearnfinance的DAI策略池被黑的手法基本一致。具體分析可參考慢霧關于yearnfinace被黑的技術分析。慢霧安全團隊提醒，近期對接CurveFinance做相關策略的機槍池頻繁遭受攻擊。相關已對接CurveFinance收益聚合器產品應注意排查使用的策略是否存在類似問題，必要時可以聯系慢霧安全團隊協助處理。[2021/2/9 19:19:41]

0x7F748D5fb52b9717f83Ed69f49fc4c2f15d83b6A

在代碼3407行同樣發現關于approve相關操作的地址：

0xc9E39Ad832cea1677426e5fA8966416337F88749

我們開始分析這兩個地址的交易記錄：

0x7F748D5fb52b9717f83Ed69f49fc4c2f15d83b6A

0xc9E39Ad832cea1677426e5fA8966416337F88749

分析 | 慢霧：韓國交易所 Bithumb XRP 錢包也疑似被黑:Twitter 上有消息稱 XRP 地址（rLaHMvsPnPbiNQSjAgY8Tf8953jxQo4vnu）被盜 20,000,000 枚 XRP（價值 $6,000,000），通過慢霧安全團隊的進一步分析，疑似攻擊者地址（rBKRigtRR2N3dQH9cvWpJ44sTtkHiLcxz1）于 UTC 時間 03/29/2019?13:46 新建并激活，此后開始持續 50 分鐘的“盜幣”行為。此前慢霧安全團隊第一時間披露 Bithumb EOS 錢包（g4ydomrxhege）疑似被黑，損失 3,132,672 枚 EOS，且攻擊者在持續洗幣。更多細節會繼續披露。[2019/3/30]

首先在Etherscan查詢發現0x7F7...b6A?是一個惡意合約地址：

而這個惡意合約的創建者是地址：

0xd975f8c82932f55c7cef51eb4247f2bea9604aa3，發現這個地址有多筆NFT交易記錄：

我們在NFTGO網站進一步查看，根據該地址目前NFT持有情況，發現被盜NFT目前都停留在此地址上還沒有售出，總價值約為225,475美元。

聲音 | 慢霧：EOS假充值紅色預警后續:慢霧安全團隊今早發布了 EOS 假充值紅色預警后，聯合 EOSPark 的大數據分析系統持續跟蹤和分析發現：從昨日開始，存在十幾個帳號利用這類攻擊技巧對數字貨幣交易所、錢包等平臺進行持續性攻擊，并有被真實攻擊情況。慢霧安全團隊在此建議各大交易所、錢包、DApp 做好相關防御措施，嚴格校驗發送給自己的轉賬交易在不可逆的狀態下確認交易的執行狀態是否為 executed。除此之外，確保以下幾點防止其他類型的“假充值”攻擊： 1. 判斷 action 是否為 transfer 2. 判斷合約賬號是否為 eosio.token 或其它 token 的官方合約 3. 判斷代幣名稱及精度 4. 判斷金額 5. 判斷 to 是否是自己平臺的充幣賬號。[2019/3/12]

而使用NFTSCAN發現NFT數量一共是21個，價值96.5枚ETH。

繼續使用MistTrack分析攻擊者地址交易歷史：

可以發現該地址的ETH交易次數并不多只有12次，余額只有0.0615枚ETH。

0xc9E39Ad832cea1677426e5fA8966416337F88749也是合約地址，合約創建者是0x6035B92fd5102b6113fE90247763e0ac22bfEF63，這個地址在@0xLosingMoney公布的黑客地址名單中也有提到。

使用MistTrack發現這個地址余額同樣不多，入賬有21筆而出賬有97筆，其中已轉出共106.2枚ETH。

查看入賬和出賬信息，可以發現多筆轉到Tornado.Cash，說明黑客已經通過各種手法將盜來的幣進行來轉移。

其中2053端口是API地址，而2083端口則是后臺登錄地址。

通過查詢發現usemoralis.com這個域名上有大量NFT相關網站，其中不少是屬于釣魚網站。

通過谷歌搜索發現不少NFT的站點，并發現多個子域信息。

于是我們遍歷和查詢usemoralis.com的子域名，發現共存在3千多個相關子域站點部署在cloudflare上。

進一步了解我們發現這些站點都是來自moralis提供的服務：

moralis是一個專門提供針對Web3開發和構建DApps的服務。

我們發現注冊后就可以得到接口地址和一個管理后臺，這使得制作釣魚網站作惡成本變得非常低。

經過統計，域名為pidhnone.se的接口有：

https://pidhnone.se/api/store/log

https://pidhnone.se/api/self-spoof/

https://pidhnone.se/api/address/

https://pidhnone.se/api/crypto/

進一步分析發現https://pidhnone.se/login其實是黑客操作的詐騙控制后臺，用來管理詐騙資產等信息。

根據后臺地址的接口拼接上地址，可以看到攻擊地址和受害者的地址。

后臺還存留關于圖片信息和相關接口操作說明文字，可以看出來是非常明顯的詐騙網站操作說明。

我們分析后臺里面涉及的信息，如圖片：

https://pidhnone.se/images/recent.png?f53959585e0db1e6e1e3bc66798bf4f8

https://pidhnone.se/images/2.gif?427f1b04b02f4e7869b1f402fcee11f6

https://pidhnone.se/images/gif.gif?24229b243c99d37cf83c2b4cdb4f6042

https://pidhnone.se/images/landing.png?0732db576131facc35ac81fa15db7a30

https://pidhnone.se/images/ss-create.png?1ad1444586c2c3bb7d233fbe7fc81d7d

https://pidhnone.se/images/self-spoof.png?25e4255ee21ea903c40d1159ba519234

這里面涉及黑客歷史使用過的的釣魚網站信息，如nftshifter.io：

以nftshifter.io這個釣魚網站為例：

在Twitter上查找相關記錄可以看到2022年3月25日有受害者訪問過該釣魚網站并公布出來。

使用相同的方式分析?nftshifter.io：

得到JS?源代碼并進行分析：

可以發現同樣也是采用moralis的服務和https://pidhnone.se/這個詐騙后臺進行控制。

其中相關的惡意地址：

釣魚者合約：

0x8beebade5b1131cf6957f2e8f8294016c276a90f

合約創建者：

0x9d194CBca8d957c3FA4C7bb2B12Ff83Fca6398ee

創建合約時間：

Mar-24-202209:05:33PMUTC?

同時我們發現與這個攻擊者相同的惡意合約代碼有9個：

隨機看一個惡意合約0xc9E...749，創建者地址為

0x6035B92fd5102b6113fE90247763e0ac22bfEF63：

相同的手法，都已經洗幣。每個惡意合約上都已經有受害者的記錄，此處不一一分析。

我們再來看下受害者時間：

剛好是在攻擊者創建惡意釣魚之后，有用戶上當受騙。

攻擊者已將NFT售出，變賣為ETH，我們使用MistTrack分析攻擊者地址

0x9d194cbca8d957c3fa4c7bb2b12ff83fca6398ee：

可以看到51ETH已經轉入Tornado.Cash洗幣。同時，目前Twitter上攻擊者的賬戶@nftshifter_io已經被凍結無法查看。

產業鏈。截止到發文前黑客地址仍有新的NFT入賬和交易進行。黑客進行釣魚攻擊往往已成規模化批量化，制作一個釣魚模版就可以批量復制出大量不同NFT項目的釣魚網站。當作惡成本變得非常低的時候，更需要普通用戶提高警惕，加強安全意識，時刻保持懷疑，避免成為下一個受害者。

如何避免陷入欺詐的境地？慢霧安全團隊建議如下：

1.不要點擊來源不明的鏈接或附件，不要隨意泄露您的助記詞

2.使用強密碼并啟用雙重身份驗證以保護您的帳戶。

3.不確定的情況下，向多方進行驗證確認。

4.不要在網上傳輸敏感信息，攻擊者可以通過分析這些信息和數據向用戶發送有針對性的網絡釣魚電子郵件。

5.建議閱讀：《區塊鏈黑暗森林自救手冊》

Tags：NFTONEHTTTPSNFTDonekey一鍵還原是什么意思htt幣騙局tps幣圈

狗狗幣最新價格