事件背景??
5 月 25 日，推特用户?@0xLosingMoney?称监测到 ID 为?@Dvincent_?的用户通过钓鱼网站 p2peers.io 盗走了 29 枚 Moonbirds 系列 NFT，价值超 70 万美元，钓鱼网站目前已无法访问。该用户表示，域名 sarek.fi 和 p2peers.io 都曾在过去的黑客事件中被使用。??
推特原文
慢雾安全团队收到相关情报并针对此次被盗事件进行朔源分析。
我们开始在 Twitter 上搜集并分析此钓鱼事件的相关信息时，发现?@Dvincent_?就是黑客的 Twitter 账号，目前该账户已经被注销。而根据 5 月 10 日的记录，推特用户?@just1n_eth（BAYC 系列 NFT 持有者）就表示?@Dvincent_?曾与其联系交易 BAYC NFT，但由于对方坚持使用 p2peers.io，交易最后并未达成。??
在该推特评论下用户 @jbe61 表示自己曾遇到同一个人并给出了对话截图：??
5 月 25 日晚，@0xLosingMoney?继续在 Twitter 公布了黑客的钱包等相关信息。??
下面是?@0xLosingMoney?给出的黑客地址：
· 0xe8250Bb4eFa6D9d032f7d46393CEaE18168A6B0D
· 0x8e73fe4d5839c60847066b67ea657a67f42a0adf
· 0x6035B92fd5102b6113fE90247763e0ac22bfEF63
慢雾：近期出现新的流行恶意盗币软件Mystic Stealer，可针对40款浏览器、70款浏览器扩展进行攻击:6月20日消息，慢雾首席信息安全官@IM_23pds在社交媒体上发文表示，近期已出现新的加密货币盗窃软件Mystic Stealer，该软件可针对40款浏览器、70款浏览器扩展、加密货币钱包进行攻击，如MetaMask、Coinbase Wallet、Binance、Rabby Wallet、OKX Wallet、OneKey等知名钱包，是目前最流行的恶意软件，请用户注意风险。[2023/6/20 21:49:05]
· 0xBf41EFdD1b815556c2416DcF427f2e896142aa53
· 0x29C80c2690F91A47803445c5922e76597D1DD2B6
由于整个被盗事件都提到「p2peers.io」这个钓鱼网站，所以我们从此处开始入手。这个在芬兰某域名公司注册的 p2peers 网站已被暂停使用，我们最终在谷歌网页快照中寻找到了该网站首页的信息。??
根据网页快照可以发现?https://p2peers.io/?的前端代码，其中主要的 JS 代码是「js/app.eb17746b.js」。
由于已经无法直接查看 JS 代码，利用?Cachedview?网站的快照历史记录查到在 2022 年 4 月 30 日主要的 JS 源代码。
通过对 JS 的整理，我们查到了代码中涉及到的钓鱼网站信息和交易地址。
在代码 912 行发现 approve 地址：
0x7F748D5fb52b9717f83Ed69f49fc4c2f15d83b6A
慢雾：疑似Gemini相关地址在过去5小时内共转出逾20万枚ETH:金色财经消息，慢雾监测显示，疑似加密交易所Gemini相关地址（0xea3ec2a08fee18ff4798c2d4725ded433d94151d）已在过去5小时内归集并转出逾20万枚ETH（超3亿美元）。[2022/7/19 2:22:08]
在代码 3407 行同样发现关于 approve 相关操作的地址：
0xc9E39Ad832cea1677426e5fA8966416337F88749
我们开始分析这两个地址的交易记录：
首先在 Etherscan 查询发现 0x7F7...b6A?是一个恶意合约地址：
而这个恶意合约的创建者（攻击者）是地址：
0xd975f8c82932f55c7cef51eb4247f2bea9604aa3，发现这个地址有多笔 NFT 交易记录：
我们在 NFTGO 网站进一步查看，根据该地址目前 NFT 持有情况，发现被盗 NFT 目前都停留在此地址上还没有售出，总价值约为 225,475 美元。??
而使用 NFTSCAN 发现 NFT 数量一共是 21 个，价值 96.5 枚 ETH。??
慢雾：Inverse Finance遭遇闪电贷攻击简析:据慢雾安全团队链上情报，Inverse Finance遭遇闪电贷攻击,损失53.2445WBTC和99,976.29USDT。慢雾安全团队以简讯的形式将攻击原理分享如下：
1.攻击者先从AAVE闪电贷借出27,000WBTC,然后存225WBTC到CurveUSDT-WETH-WBTC的池子获得5,375.5个crv3crypto和4,906.7yvCurve-3Crypto,随后攻击者把获得的2个凭证存入Inverse Finance获得245,337.73个存款凭证anYvCrv3Crypto。
2.接下来攻击者在CurveUSDT-WETH-WBTC的池子进行了一次swap,用26,775个WBTC兑换出了75,403,376.18USDT,由于anYvCrv3Crypto的存款凭证使用的价格计算合约除了采用Chainlink的喂价之外还会根据CurveUSDT-WETH-WBTC的池子的WBTC,WETH,USDT的实时余额变化进行计算所以在攻击者进行swap之后anYvCrv3Crypto的价格被拉高从而导致攻击者可以从合约中借出超额的10,133,949.1个DOLA。
3.借贷完DOLA之后攻击者在把第二步获取的75,403,376.18USDT再次swap成26,626.4个WBTC,攻击者在把10,133,949.1DOLAswap成9,881,355个3crv,之后攻击者通过移除3crv的流动性获得10,099,976.2个USDT。
4.最后攻击者把去除流动性的10,000,000个USDTswap成451.0个WBT,归还闪电贷获利离场。
针对该事件，慢雾给出以下防范建议：本次攻击的原因主要在于使用了不安全的预言机来计算LP价格，慢雾安全团队建议可以参考Alpha Finance关于获取公平LP价格的方法。[2022/6/16 4:32:58]
继续使用 MistTrack 分析攻击者地址交易历史：??
慢雾:BSC链上项目BXH遭受攻击分析:10月30日消息，据慢雾区情报，2021年10月30日，币安智能链上(BSC)去中心化交易协议BXH项目遭受攻击，被盗约1.3亿美金。经慢雾安全团队分析，黑客于27日13时(UTC)部署了攻击合约0x8877，接着在29日08时(UTC)BXH项目管理钱包地址0x5614通过grantRole赋予攻击合约0x8877管理权限。30日03时(UTC)攻击者通过攻击合约0x8877的权限从BXH策略池资金库中将其管理的资产转出。30日04时(UTC)0x5614暂停了资金库。因此BXH本次被盗是由于其管理权限被恶意的修改，导致攻击者利用此权限转移了项目资产。[2021/10/30 6:22:02]
可以发现该地址的 ETH 交易次数并不多只有 12 次，余额只有 0.0615 枚 ETH。??
0xc9E39Ad832cea1677426e5fA8966416337F88749 也是合约地址，合约创建者是 0x6035B92fd5102b6113fE90247763e0ac22bfEF63，这个地址在 @0xLosingMoney 公布的黑客地址名单中也有提到。??
使用?MistTrack 发现这个地址余额同样不多，入账有 21 笔而出账有?97 笔，其中已转出共?106.2 枚?ETH。??
查看入账和出账信息，可以发现多笔转到 Tornado.Cash，说明黑客已经通过各种手法将盗来的币进行来转移。
我们在 JS 代码 409 行发现使用到了域名为 usemoralis.com 的服务接口：
其中 2053 端口是 API 地址，而 2083 端口则是后台登录地址。??
慢雾：Spartan Protocol被黑简析:据慢雾区情报，币安智能链项目 Spartan Protocol 被黑，损失金额约 3000 万美元，慢雾安全团队第一时间介入分析，并以简讯的形式分享给大家参考：
1. 攻击者通过闪电贷先从 PancakeSwap 中借出 WBNB；
2. 在 WBNB-SPT1 的池子中，先使用借来的一部分 WBNB 不断的通过 swap 兑换成 SPT1，导致兑换池中产生巨大滑点；
3. 攻击者将持有的 WBNB 与 SPT1 向 WBNB-SPT1 池子添加流动性获得 LP 凭证，但是在添加流动性的时候存在一个滑点修正机制，在添加流动性时将对池的滑点进行修正，但没有限制最高可修正的滑点大小，此时添加流动性，由于滑点修正机制，获得的 LP 数量并不是一个正常的值；
4. 随后继续进行 swap 操作将 WBNB 兑换成 SPT1，此时池子中的 WBNB 增多 SPT1 减少；
5. swap 之后攻击者将持有的 WBNB 和 SPT1 都转移给 WBNB-SPT1 池子，然后进行移除流动性操作；
6. 在移除流动性时会通过池子中实时的代币数量来计算用户的 LP 可获得多少对应的代币，由于步骤 5，此时会获得比添加流动性时更多的代币；
7. 在移除流动性之后会更新池子中的 baseAmount 与 tokenAmount，由于移除流动性时没有和添加流动性一样存在滑点修正机制，移除流动性后两种代币的数量和合约记录的代币数量会存在一定的差值；
8. 因此在与实际有差值的情况下还能再次添加流动性获得 LP，此后攻击者只要再次移除流动性就能再次获得对应的两种代币；
9. 之后攻击者只需再将 SPT1 代币兑换成 WBNB，最后即可获得更多的 WBNB。详情见原文链接。[2021/5/2 21:17:59]
通过查询发现 usemoralis.com 这个域名上有大量 NFT 相关网站，其中不少是属于钓鱼网站。
通过谷歌搜索发现不少 NFT 的站点，并发现多个子域信息。
于是我们遍历和查询 usemoralis.com 的子域名，发现共存在 3 千多个相关子域站点部署在 cloudflare 上。??
进一步了解我们发现这些站点都是来自 moralis 提供的服务：??
moralis 是一个专门提供针对 Web3 开发和构建 DApps 的服务。??
我们发现注册后就可以得到接口地址和一个管理后台，这使得制作钓鱼网站作恶成本变得非常低。
继续分析 JS 代码，在 368 行发现有将受害者地址提交到网站域名为 pidhnone.se 的接口。
经过统计，域名为 pidhnone.se 的接口有：
· https://pidhnone.se/api/store/log
· https://pidhnone.se/api/self-spoof/
· https://pidhnone.se/api/address/
· https://pidhnone.se/api/crypto/
进一步分析发现 https://pidhnone.se/login 其实是黑客操作的控制后台，用来管理资产等信息。
根据后台地址的接口拼接上地址，可以看到攻击地址和受害者的地址。??
后台还存留关于图片信息和相关接口操作说明文字，可以看出来是非常明显的网站操作说明。??
我们分析后台里面涉及的信息，如图片：
https://pidhnone.se/images/recent.png?f53959585e0db1e6e1e3bc66798bf4f8
https://pidhnone.se/images/2.gif?427f1b04b02f4e7869b1f402fcee11f6
https://pidhnone.se/images/gif.gif?24229b243c99d37cf83c2b4cdb4f6042
https://pidhnone.se/images/landing.png?0732db576131facc35ac81fa15db7a30
https://pidhnone.se/images/ss-create.png?1ad1444586c2c3bb7d233fbe7fc81d7d
https://pidhnone.se/images/self-spoof.png?25e4255ee21ea903c40d1159ba519234
这里面涉及黑客历史使用过的的钓鱼网站信息，如 nftshifter.io：??
以 nftshifter.io 这个钓鱼网站为例：??
在 Twitter 上查找相关记录可以看到 2022 年 3 月 25 日有受害者访问过该钓鱼网站并公布出来。??
使用相同的方式分析? nftshifter.io：??
得到?JS?源代码并进行分析：??
可以发现同样也是采用 moralis 的服务和 https://pidhnone.se/ 这个后台进行控制。
其中相关的恶意地址：
钓鱼者合约：
0x8beebade5b1131cf6957f2e8f8294016c276a90f
合约创建者：
0x9d194CBca8d957c3FA4C7bb2B12Ff83Fca6398ee
创建合约时间：
Mar-24-2022 09:05:33 PM +UTC?
同时我们发现与这个攻击者相同的恶意合约代码有 9 个：??
随机看一个恶意合约 0xc9E...749，创建者地址为
0x6035B92fd5102b6113fE90247763e0ac22bfEF63：
相同的手法，都已经洗币。每个恶意合约上都已经有受害者的记录，此处不一一分析。
我们再来看下受害者时间：??
刚好是在攻击者创建恶意钓鱼之后，有用户上当受。
攻击者已将 NFT 售出，变卖为 ETH，我们使用 MistTrack 分析攻击者地址
0x9d194cbca8d957c3fa4c7bb2b12ff83fca6398ee：
可以看到 51 ETH 已经转入 Tornado.Cash 洗币。同时，目前?Twitter 上攻击者的账户?@nftshifter_io?已经被冻结无法查看。
可以确认的是，攻击一直在发生，而且有成熟的产业链。截止到发文前黑客地址仍有新的 NFT 入账和交易进行。黑客进行钓鱼攻击往往已成规模化批量化，制作一个钓鱼模版就可以批量复制出大量不同 NFT 项目的钓鱼网站。当作恶成本变得非常低的时候，更需要普通用户提高警惕，加强安全意识，时刻保持怀疑，避免成为下一个受害者。
来源：慢雾科技
作者：山哥&耀，慢雾安全团队
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。