9 月 4 日，推特用户 Phantom X 发推称朝鲜 APT 组织针对数十个 ETH 和 SOL 项目进行大规模的网络钓鱼活动。
（https://twitter.com/PhantomXSec/status/1566219671057371136 ）
该推特用户给出了 196 个钓鱼域名信息，分析后关联到朝鲜黑客相关信息，具体的域名列表如下：
（https://pastebin.com/UV 9 pJN 2 M）
慢雾安全团队注意到该事件并第一时间跟进深入分析：
（https://twitter.com/IM_ 23 pds/status/1566258373284093952 ）
由于朝鲜黑客针对加密货币行业的攻击模型多样化，我们披露的也只是冰山一角，因为一些保密的要求，本篇文章也仅针对其中一部分钓鱼素材包括相关钓鱼钱包地址进行分析。这里将重点针对 NFT 钓鱼进行分析。
慢雾：近期出现新的流行恶意盗币软件Mystic Stealer，可针对40款浏览器、70款浏览器扩展进行攻击:6月20日消息，慢雾首席信息安全官/img/202315213845/3.jpg" />
同时我们也发现朝鲜黑客常使用的一些独有的钓鱼特征：
特征一：钓鱼网站都会记录访客数据并保存到外部站点。黑客通过 HTTP GET 请求将站点访问者信息记录到外部域，发送请求的域名虽不同但是请求的 API 接口都为 “/postAddr.php”。一般格式为 “https://nserva.live/postAddr.php? mmAddr=...[Metamask]...&accessTime=xxx&url=evil.site”，其中参数 mmAddr 记录访客的钱包地址，accessTime 记录访客的访问时间，url 记录访客当前所访问的钓鱼网站链接。
慢雾：Inverse Finance遭遇闪电贷攻击简析:据慢雾安全团队链上情报，Inverse Finance遭遇闪电贷攻击,损失53.2445WBTC和99,976.29USDT。慢雾安全团队以简讯的形式将攻击原理分享如下：
1.攻击者先从AAVE闪电贷借出27,000WBTC,然后存225WBTC到CurveUSDT-WETH-WBTC的池子获得5,375.5个crv3crypto和4,906.7yvCurve-3Crypto,随后攻击者把获得的2个凭证存入Inverse Finance获得245,337.73个存款凭证anYvCrv3Crypto。
2.接下来攻击者在CurveUSDT-WETH-WBTC的池子进行了一次swap,用26,775个WBTC兑换出了75,403,376.18USDT,由于anYvCrv3Crypto的存款凭证使用的价格计算合约除了采用Chainlink的喂价之外还会根据CurveUSDT-WETH-WBTC的池子的WBTC,WETH,USDT的实时余额变化进行计算所以在攻击者进行swap之后anYvCrv3Crypto的价格被拉高从而导致攻击者可以从合约中借出超额的10,133,949.1个DOLA。
3.借贷完DOLA之后攻击者在把第二步获取的75,403,376.18USDT再次swap成26,626.4个WBTC,攻击者在把10,133,949.1DOLAswap成9,881,355个3crv,之后攻击者通过移除3crv的流动性获得10,099,976.2个USDT。
4.最后攻击者把去除流动性的10,000,000个USDTswap成451.0个WBT,归还闪电贷获利离场。
针对该事件，慢雾给出以下防范建议：本次攻击的原因主要在于使用了不安全的预言机来计算LP价格，慢雾安全团队建议可以参考Alpha Finance关于获取公平LP价格的方法。[2022/6/16 4:32:58]
慢雾：警惕QANX代币的双花攻击风险:据慢雾区消息，近期存在恶意用户利用QANX代币的转账锁定、解锁功能(transferLocked/unlock)触发的事件记录与正常使用transfer功能转账触发的Transfer事件记录相同而进行双花攻击。
慢雾安全团队建议已上架此币种的平台及时自查，未上架的平台在对接此类币种时应注意以上风险。
QANX: 0xaaa7a10a8ee237ea61e8ac46c50a8db8bcc1baaa[2022/3/26 14:18:46]
特征二：钓鱼网站会请求一个 NFT 项目价目表，通常 HTTP 的请求路径为 “getPriceData.php”：
特征三：存在一个链接图像到目标项目的文件 “imgSrc.js”，包含目标站点列表和在其相应网络钓鱼站点上使用的图像文件的托管位置，这个文件可能是钓鱼网站模板的一部分。
进一步分析发现 APT 用于监控用户请求的主要域名为 “thedoodles.site”，此域名在 APT 活动早期主要用来记录用户数据：
慢雾：警惕ETH新型假充值，已发现在野ETH假充值攻击:经慢雾安全团队监测，已发现存在ETH假充值对交易所攻击的在野利用，慢雾安全团队决定公开修复方案，请交易所或钱包及时排查ETH入账逻辑，必要时联系慢雾安全团队进行检测，防止资金丢失。建议如没有把握成功修复可先临时暂停来自合约地址的充值请求。再进行如下修复操作：1、针对合约ETH充值时，需要判断内联交易中是否有revert的交易，如果存在revert的交易，则拒绝入账。2、采用人工入账的方式处理合约入账，确认充值地址到账后才进行人工入账。同时需要注意，类以太坊的公链币种也可能存在类似的风险。[2020/5/23]
查询该域名的 HTTPS 证书启用时间是在 7 个月之前，黑客组织已经开始实施对 NFT 用户对攻击。
最后来看下黑客到底运行和部署了多少个钓鱼站点：
比如最新的站点伪装成世界杯主题：
继续根据相关的 HTTPS 证书搜索得到相关的网站主机信息：
声音 | 慢雾：Dapp、交易所等攻击事件造成损失已近41亿美金:慢雾数据显示Dapp、交易所等攻击事件造成的损失已达4098587697.68美金，半月增加近3亿美金。据2月28日报道，慢雾区上线“被黑档案库(SlowMist Hacked)”，目前各类攻击事件共造成约 3824082630.12 美金的损失。[2019/3/13]
在一些主机地址中发现了黑客使用的各种攻击脚本和统计受害者信息的 txt 文件。
这些文件记录了受害者访问记录、授权情况、使用插件钱包的情况：
可以发现这些信息跟钓鱼站点采集的访客数据相吻合。
其中还包括受害者 approve 记录：
以及签名数据 sigData 等，由于比较敏感此处不进行展示。
另外，统计发现主机相同 IP 下 NFT 钓鱼站群，单独一个 IP 下就有 372 个 NFT 钓鱼站点：
另一个 IP 下也有 320 个 NFT 钓鱼站群：
甚至包括朝鲜黑客在经营的一个 DeFi 平台：
由于篇幅有限，此处不再赘述。
结合之前文章，我们对此次钓鱼事件的核心代码进行了分析。我们发现黑客钓鱼涉及到 WETH、USDC、DAI、UNI 等多个地址协议。
下面代码用于诱导受害者进行授权 NFT、ERC 20 等较常见的钓鱼 Approve 操作：
除此之外，黑客还会诱导受害者进行 Seaport、Permit 等签名。
下面是这种签名的正常样例，只是在钓鱼网站中不是 “opensea.io” 这个域名。
我们在黑客留下的主机也发现了这些留存的签名数据和 “Seaport” 的签名数据特征一致。
由于这类型的签名请求数据可以“离线存储”，黑客在拿到大量的受害者签名数据后批量化的上链转移资产。
对钓鱼网站及手法分析后，我们选取其中一个钓鱼地址（0xC0fd...e0ca）进行分析。
可以看到这个地址已被 MistTrack 标记为高风险钓鱼地址，交易数也还挺多。钓鱼者共收到 1055 个 NFT，售出后获利近 300 ETH。
往上溯源，该地址的初始资金来源于地址（0 x 2 e 0 a...DA 82 ）转入的 4.97 ETH。往下溯源，则发现该地址有与其他被 MistTrack 标记为风险的地址有交互，以及有 5.7 ETH 转入了 FixedFloat。
再来分析下初始资金来源地址（0 x 2 e 0 a...DA 82 ），目前收到约 6.5 ETH。初始资金来源于 Binance 转入的 1.433 ETH。
同时，该地址也是与多个风险地址进行交互。
由于保密性和隐私性，本文仅针对其中一部分 NFT 钓鱼素材进行分析，并提炼出朝鲜黑客的部分钓鱼特征，当然，这只是冰山一角。慢雾在此建议，用户需加强对安全知识的了解，进一步强化甄别网络钓鱼攻击的能力等，避免遭遇此类攻击。
Ps. 感谢 hip、ScamSniffer 提供的支持。
相关链接：
https://www.prevailion.com/what-wicked-webs-we-unweave
https://twitter.com/PhantomXSec/status/1566219671057371136
https://twitter.com/evilcos/status/1603969894965317632
慢雾科技
个人专栏
阅读更多
金色财经 子木
金色早8点
去中心化金融社区
虎嗅科技
区块律动BlockBeats
CertiK中文社区
深潮TechFlow
念青
Odaily星球日报
腾讯研究院
撰写：Jake Pahor截至 2022 年 12 月 23 日,FANTOM 生态概览：$FTM价格 = 0.20 美元市值 = 5.2 亿美元 – 排名 65PoS历史最高 = 3.
1900/1/1 0:00:00▌以太坊已启动ETH提款测试网金色财经报道,以太坊新闻周刊创始人Evan Van Ness发推表示,以太坊提款测试网已启动.
1900/1/1 0:00:00撰文：Frank,Foresight News2022 年倏忽而过,今年的行业更加变动不居,尤其是经历了数次「黑天鹅」事件,从多方面对整个加密市场进行了极限压力测试.
1900/1/1 0:00:00以太坊账户在我们探索帐户抽象之前,我们需要了解以太坊帐户是如何工作的。以太坊区块链上有两个不同的账户。外部拥有账户(EOA)和合约账户(CA)。让我们先从EOA(即用户帐户)开始.
1900/1/1 0:00:00本文为金色财经&NFTGO原创年度盘点文章,转载请注明出处。回顾过去的一年,我们看到NFT领域出现了很多新场景,新应用和新变化。而买卖NFT的玩家也有一些新动作.
1900/1/1 0:00:00PoW、PoS、DPoS,分别代表区块链网络的三种主要记账规则,它们的作用非常大,直接关系到记账权和相关收益的分配。不夸张地说,共识机制是区块链的灵魂.
1900/1/1 0:00:00
火星链