NFT:慢霧：29枚Moonbirds NFT被盜事件溯源分析_PID幣

原文作者：山哥&耀@慢霧安全團隊

NFT，價值超70萬美元，釣魚網站目前已無法訪問。該用戶表示，域名sarek.fi和p2peers.io都曾在過去的黑客事件中被使用。

搜集相關信息

慢霧安全團隊收到相關情報并針對此次被盜事件進行朔源分析。

我們開始在Twitter上搜集并分析此釣魚事件的相關信息時，發現@Dvincent_?就是黑客的Twitter賬號，目前該賬戶已經被注銷。而根據5月10日的記錄，推特用戶?@just1n_eth就表示?@Dvincent_?曾與其聯系交易BAYCNFT，但由于對方堅持使用p2peers.io，交易最后并未達成。

5月25日晚，@0xLosingMoney?繼續在Twitter公布了黑客的錢包等相關信息。

下面是?@0xLosingMoney?給出的黑客地址：

?0xe8250Bb4eFa6D9d032f7d46393CEaE18168A6B0D

?0x8e73fe4d5839c60847066b67ea657a67f42a0adf

?0x6035B92fd5102b6113fE90247763e0ac22bfEF63

慢霧：Distrust發現嚴重漏洞，影響使用Libbitcoin Explorer3.x版本的加密錢包:金色財經報道，據慢霧區消息，Distrust 發現了一個嚴重的漏洞，影響了使用 Libbitcoin Explorer 3.x 版本的加密貨幣錢包。該漏洞允許攻擊者通過破解 Mersenne Twister 偽隨機數生成器（PRNG）來訪問錢包的私鑰，目前已在現實世界中造成了實際影響。

漏洞詳情：該漏洞源于 Libbitcoin Explorer 3.x 版本中的偽隨機數生成器（PRNG）實現。該實現使用了 Mersenne Twister 算法，并且僅使用了 32 位的系統時間作為種子。這種實現方式使得攻擊者可以通過暴力破解方法在幾天內找到用戶的私鑰。

影響范圍：該漏洞影響了所有使用 Libbitcoin Explorer 3.x 版本生成錢包的用戶，以及使用 libbitcoin-system 3.6 開發庫的應用。

已知受影響的加密貨幣包括 Bitcoin、Ethereum、Ripple、Dogecoin、Solana、Litecoin、Bitcoin Cash 和 Zcash 等。

風險評估：由于該漏洞的存在，攻擊者可以訪問并控制用戶的錢包，從而竊取其中的資金。截至 2023 年 8 月，已有超過 $900,000 美元的加密貨幣資產被盜。

解決方案：我們強烈建議所有使用 Libbitcoin Explorer 3.x 版本的用戶立即停止使用受影響的錢包，并將資金轉移到安全的錢包中。請務必使用經過驗證的、安全的隨機數生成方法來生成新的錢包。[2023/8/10 16:18:20]

?0xBf41EFdD1b815556c2416DcF427f2e896142aa53

慢霧：過去一周加密領域因安全事件累計損失3060萬美元:7月24日消息，據慢霧統計，上周加密領域因遭遇攻擊累計損失3060萬美元，攻擊者利用了不同的攻擊向量。這些事件包括Alphapo熱錢包被盜（損失2300萬美元）、Conic Finance遭閃電貸攻擊（損失30萬美元）以及重入攻擊（損失320萬美元）、GMETA發生RugPull（損失360萬美元）、BNO遭閃電貸攻擊（損失50萬美元）等。[2023/7/24 15:55:56]

?0x29C80c2690F91A47803445c5922e76597D1DD2B6

根據網頁快照可以發現https://p2peers.io/的前端代碼，其中主要的JS代碼是“js/app.eb17746b.js”。

由于已經無法直接查看JS代碼，利用?Cachedview?網站的快照歷史記錄查到在2022年4月30日主要的JS源代碼。

通過對JS的整理，我們查到了代碼中涉及到的釣魚網站信息和交易地址。

在代碼912行發現approve地址：

0x7F748D5fb52b9717f83Ed69f49fc4c2f15d83b6A

慢霧：區塊鏈因黑客攻擊損失總金額已超300億美元:金色財經報道，據慢霧統計數據顯示，自2012年1月以來，區塊鏈黑客造成的損失總金額約為30,011,604,576.24美元；黑客事件總數達到1101起。

其中Exchange、ETH Ecosystem、Bridge是在黑客攻擊中損失最大的類別，損失金額分別為10,953,323,803.39美元、3,123,297,416.28美元，2,005,030,543.30美元。另外合約漏洞、Rug Pull、閃電貸攻擊是最常見的攻擊方式，分別發生黑客事件137起，106起，87起。[2023/7/7 22:24:09]

在代碼3407行同樣發現關于approve相關操作的地址：

0xc9E39Ad832cea1677426e5fA8966416337F88749

我們開始分析這兩個地址的交易記錄：

0x7F748D5fb52b9717f83Ed69f49fc4c2f15d83b6A

0xc9E39Ad832cea1677426e5fA8966416337F88749

首先在Etherscan查詢發現0x7F7...b6A?是一個惡意合約地址：

慢霧：已凍結部分BitKeep黑客轉移資金:12月26日消息，慢霧安全團隊在社交媒體上發文表示，正在對 BitKeep 錢包進行深入調查，并已凍結部分黑客轉移資金。[2022/12/26 22:08:58]

而這個惡意合約的創建者是地址：

0xd975f8c82932f55c7cef51eb4247f2bea9604aa3，發現這個地址有多筆NFT交易記錄：

我們在NFTGO網站進一步查看，根據該地址目前NFT持有情況，發現被盜NFT目前都停留在此地址上還沒有售出，總價值約為225,475美元。

而使用NFTSCAN發現NFT數量一共是21個，價值96.5枚ETH。

繼續使用MistTrack分析攻擊者地址交易歷史：

可以發現該地址的ETH交易次數并不多只有12次，余額只有0.0615枚ETH。

0xc9E39Ad832cea1677426e5fA8966416337F88749也是合約地址，合約創建者是0x6035B92fd5102b6113fE90247763e0ac22bfEF63，這個地址在@0xLosingMoney公布的黑客地址名單中也有提到。

分析 | 慢霧：韓國交易所 Bithumb XRP 錢包也疑似被黑:Twitter 上有消息稱 XRP 地址（rLaHMvsPnPbiNQSjAgY8Tf8953jxQo4vnu）被盜 20,000,000 枚 XRP（價值 $6,000,000），通過慢霧安全團隊的進一步分析，疑似攻擊者地址（rBKRigtRR2N3dQH9cvWpJ44sTtkHiLcxz1）于 UTC 時間 03/29/2019?13:46 新建并激活，此后開始持續 50 分鐘的“盜幣”行為。此前慢霧安全團隊第一時間披露 Bithumb EOS 錢包（g4ydomrxhege）疑似被黑，損失 3,132,672 枚 EOS，且攻擊者在持續洗幣。更多細節會繼續披露。[2019/3/30]

使用MistTrack發現這個地址余額同樣不多，入賬有21筆而出賬有97筆，其中已轉出共106.2枚ETH。

查看入賬和出賬信息，可以發現多筆轉到Tornado.Cash，說明黑客已經通過各種手法將盜來的幣進行來轉移。

其中2053端口是API地址，而2083端口則是后臺登錄地址。

通過查詢發現usemoralis.com這個域名上有大量NFT相關網站，其中不少是屬于釣魚網站。

通過谷歌搜索發現不少NFT的站點，并發現多個子域信息。

于是我們遍歷和查詢usemoralis.com的子域名，發現共存在3千多個相關子域站點部署在cloudflare上。

進一步了解我們發現這些站點都是來自moralis提供的服務：

moralis是一個專門提供針對Web3開發和構建DApps的服務。

我們發現注冊后就可以得到接口地址和一個管理后臺，這使得制作釣魚網站作惡成本變得非常低。

經過統計，域名為pidhnone.se的接口有：

https://pidhnone.se/api/store/log

https://pidhnone.se/api/self-spoof/

https://pidhnone.se/api/address/

https://pidhnone.se/api/crypto/

進一步分析發現https://pidhnone.se/login其實是黑客操作的詐騙控制后臺，用來管理詐騙資產等信息。

根據后臺地址的接口拼接上地址，可以看到攻擊地址和受害者的地址。

后臺還存留關于圖片信息和相關接口操作說明文字，可以看出來是非常明顯的詐騙網站操作說明。

我們分析后臺里面涉及的信息，如圖片：

https://pidhnone.se/images/recent.png?f53959585e0db1e6e1e3bc66798bf4f8

https://pidhnone.se/images/2.gif?427f1b04b02f4e7869b1f402fcee11f6

https://pidhnone.se/images/gif.gif?24229b243c99d37cf83c2b4cdb4f6042

https://pidhnone.se/images/landing.png?0732db576131facc35ac81fa15db7a30

https://pidhnone.se/images/ss-create.png?1ad1444586c2c3bb7d233fbe7fc81d7d

https://pidhnone.se/images/self-spoof.png?25e4255ee21ea903c40d1159ba519234

這里面涉及黑客歷史使用過的的釣魚網站信息，如nftshifter.io：

以nftshifter.io這個釣魚網站為例：

在Twitter上查找相關記錄可以看到2022年3月25日有受害者訪問過該釣魚網站并公布出來。

使用相同的方式分析?nftshifter.io：

得到JS?源代碼并進行分析：

可以發現同樣也是采用moralis的服務和https://pidhnone.se/這個詐騙后臺進行控制。

其中相關的惡意地址：

釣魚者合約：

0x8beebade5b1131cf6957f2e8f8294016c276a90f

合約創建者：

0x9d194CBca8d957c3FA4C7bb2B12Ff83Fca6398ee

創建合約時間：

Mar-24-202209:05:33PMUTC?

同時我們發現與這個攻擊者相同的惡意合約代碼有9個：

隨機看一個惡意合約0xc9E...749，創建者地址為

0x6035B92fd5102b6113fE90247763e0ac22bfEF63：

相同的手法，都已經洗幣。每個惡意合約上都已經有受害者的記錄，此處不一一分析。

我們再來看下受害者時間：

剛好是在攻擊者創建惡意釣魚之后，有用戶上當受騙。

攻擊者已將NFT售出，變賣為ETH，我們使用MistTrack分析攻擊者地址

0x9d194cbca8d957c3fa4c7bb2b12ff83fca6398ee：

可以看到51ETH已經轉入Tornado.Cash洗幣。同時，目前Twitter上攻擊者的賬戶@nftshifter_io已經被凍結無法查看。

產業鏈。截止到發文前黑客地址仍有新的NFT入賬和交易進行。黑客進行釣魚攻擊往往已成規模化批量化，制作一個釣魚模版就可以批量復制出大量不同NFT項目的釣魚網站。當作惡成本變得非常低的時候，更需要普通用戶提高警惕，加強安全意識，時刻保持懷疑，避免成為下一個受害者。

如何避免陷入欺詐的境地？慢霧安全團隊建議如下：

1.不要點擊來源不明的鏈接或附件，不要隨意泄露您的助記詞

2.使用強密碼并啟用雙重身份驗證以保護您的帳戶。

3.不確定的情況下，向多方進行驗證確認。

4.不要在網上傳輸敏感信息，攻擊者可以通過分析這些信息和數據向用戶發送有針對性的網絡釣魚電子郵件。

5.建議閱讀：《區塊鏈黑暗森林自救手冊》

Tags：NFTONEPIDTPSPHUNK Vault (NFTX)Pica Art MoneyPID幣tps幣圈

DYDX