ANK:收割“科学家”?——套利机器人陷阱_Baby Shark Tank

套利机器人,又称三明治机器人或夹子机器人,它可以实时检测Pancake或uniswap上面所有的交易,发现一定金额以上的交易时,会通过提高Gas费在购买者之前提前买入,然后等它的买入成功抬高价格后,再自动卖出,实现套利。套利机器人都是通过智能合约部署,24小时全天候运行。

在这种靠着套利机器人自动获利的模式传播开来之后,很多人都想通过这种途径实现躺着赚钱。然而,就在这些人在想着躺着赚钱时,却又另一批人谋划着收割这些人的钱。

最近,我在研究套利机器人时,发现网上有不少教程,视频加文字讲解,事无巨细,无比贴心。然而,事实上却是暗藏祸心。

我们先来看看第一个套路:https://www.youtube.com/watch?v=yj0RJ-3YuWk?。

下面是视频教程最新的截图,显示视频播放量已达15k之多,且攻击者仍保持更新,以便吸引更多的人关注并实施钓鱼攻击。

接下来看看评论区,发现竟然一片叫好,只是不知道是攻击者自己刷好评,还是受害者还没意识自己已经受呢?

比特币与标普500ETF的30天滚动相关性已降至2023年新低:6月13日消息,数据显示,比特币与标准普尔500ETF(SPY)的30天滚动相关性已降至约-0.5,创2023年新低。[2023/6/13 21:33:16]

随后,我总结了下视频中攻击者教导用户的步骤,大致如下:

创建MetaMask钱包,连接BSC或ETH主网;访问编译器Remix,进行Remix编辑器的基本介绍;点击“contracts”文件夹并创建一个“NewFile”,根据需要重命名,如:“AutoBot.sol”;在Remix中粘贴给定链接中写好的智能合约代码;移动到SolidityCompiler选项卡,选择对应版本编译;移动到部署选项卡,选择InjectedWeb3环境,连接MetaMask钱包授权;填写_tokenName和_tokenSymbol,点击DEPLOY进行部署;部署成功后,用MetaMask钱包向刚刚部署的合约进行转账,存入资金,并温馨提示转账的合约地址别填错了;交易确认后,点击“Action”按钮启动BOT。接下来,攻击者贴出了代码地址?https://rentry.co/9349g/raw?,我们发现,该代码也是持续在更新,猜测是更新攻击者的钱包地址,保证获利不放在同一个钱包地址。

把代码下载到本地后,纵观全部代码,共有500多行,且看函数名和注释,涉及到合约、内存池、流动性等操作,且代码内有大量hex字符串代码,阅读难度大,给人一种看起来很干货的错觉。攻击者这样设计,很容易让部分读者知难而退,不去深究合约代码的细节,从而按照攻击者既定的步骤直接进行合约部署并运行。

火币钱包获评“2020年度最受用户信任钱包”称号:11月24日,火币钱包在猎云网、猎云财经主办的区块链产业大会暨年度颁奖盛典上荣获“2020年度最受用户信任钱包”称号。火币钱包极简的产品风格和高级别的安全措施,给用户安全、方便和快捷的数字资产管理体验。

据悉,火币钱包2.0已于9月29日正式上线,正式升级为全方位去中心化资产收益管理平台。火币钱包2.0首页进行了全新改版,用户可以更快捷地使用 DeFi ,打开钱包 APP 用户即可在钱包首页看到各个头部 DEX 入口,最热 DeFi 项目列表和各类资产数据;APY 排行榜、各类原创教程,帮助用户第一时间捕捉投资机会,并轻松使用相应 DeFi 协议。[2020/11/24 21:58:09]

一般遇到这种阅读难度大的代码怎么办呢?

既然全部代码的阅读难度大,那我们就直接从攻击者诱导我们执行的函数*action()*开始,看看到底想干啥。

金色相对论 | 神鱼:2020年区块链行业大概率会出现标志性拐点:在今日的金色相对论中,F2Pool创始人神鱼发言指出:2019关键词:创业维艰。2019年对行业来讲,得到了主流国家、大型金融机构的认可,合规进程也在逐步落地。对个人和团队来说这个过程中付出许多也遇到了不少困难。

2020关键词:2.0。对于我个人和整个行业来说,2020都是很重要的一年,不仅是因为今年有四年一遇的比特币减半,这个行业会被越来越多的主流机构和社会大众所认识和接受,迈入一个崭新的阶段,大概率会出现标志性拐点。行业从业人员和公司方向都会出现重大变化,过去的超额收益也会逐步消失。[2020/1/22]

从代码分析,很容易得出结论:

引诱用户将本合约的全部余额转给*_callFrontRunActionMempool()*函数返回的这个地址。

继续往上追踪,发现调用了*parseMemoryPool()和callMempool()*两个函数:

看名字也误以为是操作内存池,而这就是攻击者故意做的混淆,我们把相关的函数全部提取出来拼接整理如下:

动态 | Alterbank推出连接加密货币和传统金融的数字账户:巴西加密货币钱包Alterbank已推出了一个新的数字银行账户,该账户通过与Visa的合作,可提供传统的金融服务以及加密货币访问。具体而言,通过与Visa的合作,客户将拥有两个银行账户。一个用于加密货币,另一个是使用Visa卡的传统储蓄账户。Altercard Visa将允许客户使用加密货币进行在线交易、支付账单、音乐流媒体、交通等,所有这些均可通过Alterbank的在线应用管理。(Latam List)[2019/12/25]

动态 | SBI子公司与越南银行TPBank合作建立基于RippleNet的转账服务:SBI Ripple Asia和SBI金融科技的子公司SBI Remit携手利用区块链技术启动日本和越南之间的转账服务。这两家日本公司周五宣布与越南地方银行Tien Phong Commercial Joint Stock Bank(TPBank)合作,将以法定货币进行转账。据悉,SBI Remit已经在使用速汇金(MoneyGram)的服务在其合作银行网络内转移资金,此次与TPBank的合作将使用RippleNet。据此前消息,TP Bank宣布和Ripple合作,以利用RippleNet区块链技术进行跨境交易。(Finance Magnates)[2019/11/15]

这段代码看起来很高大上且难以阅读,涉及很多硬编码的hex字符串计算,实质上就是进行地址拼接。我们在这里不做细节讲解,直接在remix上选择JavaScriptVM进行部署运行:

输出为:0x2b47f7cffa72e048afff49d6c0fdffecf477feaa

显然,这就是一个攻击者的钱包地址。

我们去浏览器上查看,发现这个地址比较新,只获利了0.01BNB。

显然,攻击者是定期更新攻击者钱包地址,一方面避免被追踪,一方面给受害者一种代码定时更新的假象。

然而,故事还没结束。

我在YouTube上继续搜寻,又发现了一个攻击套路:?https://www.youtube.com/watch?v=z6MmH6mT2kI,这个视频所采取的路数和上一个如出一辙,不同点在于对攻击者钱包地址的隐匿手法。

这里攻击者引诱用户将本合约的全部余额转给*manager.uniswapDepositAddress()*返回的这个地址。

这里调用了*manager.uniswapDepositAddress(),*本身代码也不在本合约中,看名字又极具迷惑性,很容易让人以为是调用了uniswap的某个官方函数而掉以轻心。但我们根据本合约引用的代码进行追踪,发现存在于这个地址:

进一步到bitbucket的代码库中进行跟踪,可以发现*manager.uniswapDepositAddress()*返回的就是攻击者的其中一个钱包地址:

在本案例中,攻击者甚至都抛弃了复杂的hex运算,直接从import方式获取钱包地址,简单粗暴。

我们去浏览器上查看,发现该地址持续收到转账,说明一直都有人上当受。

上面为什么说是攻击者的其中一个钱包地址呢?因为我们对攻击者的bitbucket中进行了代码扫描,初步发现了利用这种方法攻击的收款地址多达十几个,攻击者只需要更改import文件即可实现收款地址的更改,这些地址均使用*manager.uniswapDepositAddress()*进行伪装。

就在我准备结束时,竟然意外收到了朋友的举报:https://www.youtube.com/watch?v=OZ-YAB5_-Dg

这是一个代码更简单,钓鱼更直接,更新也最频繁,播放量也最高的一个。

我们用同样的方法进行分析,先通过攻击者的代码地址https://pst.klgrth.io/paste/kyh3m/raw将代码拷贝到remix,发现大部分都是注释。果断先删掉注释后,再来看:

发现攻击手法如出一辙,且代码更加简单粗暴。同样action()直接调用transfer进行转账,而转账地址则来自于import的另一处代码,继续追踪:

和上一个案例一样,在外部代码返回攻击者钱包地址。

我们去浏览器上查看,发现攻击者已获利7.5BNB。

我们对上述提到的所有攻击者地址进行了初步统计,目前共获利125BNB,价值约3万美元,详细地址及获利如下:

最后,我们来总结一下这种类型的钓鱼攻击的手法:

受害者先按照视频上的教学步骤复制代码并在remix上进行恶意合约的部署,再根据视频和评论中所说需要gas费才能启动套利机器人,于是往合约上转入资金,最后根据攻击者引导,调用action操作,将转入的资金全部转给攻击者的钱包。

所以在此建议大家,天下没有免费的午餐,想要通过套利机器人进行获利,最好是能吃透原理,仔细分析代码的实现逻辑,确保自己在获利前不被钓鱼。

郑重声明: 本文版权归原作者所有, 转载文章仅为传播更多信息之目的, 如作者信息标记有误, 请第一时间联系我们修改或删除, 多谢。

大币网

中币比特币:公众对区块链的几大误解_OIN

区块链是一种创新的计算模式,数据和应用的安全不由中心化的第三方保障,而是由去中心化的计算机网络保障。由于区块链本身具有无需许可性,因此任何人都可以加入网络,并独立验证计算的真实性.

[0:15ms0-8:595ms