COM:慢雾：Web3 假钱包第三方源调查分析

By: 山 & 耀

背景

基于区块链技术的 Web3 正在驱动下一代技术革命，越来越多的人开始参与到这场加密浪潮中，但 Web3 与 Web2 是两个截然不同的世界。Web3 世界是一个充满着各种各样的机遇以及危险的黑暗森林，身处 Web3 世界中，钱包则是进入 Web3 世界的入口以及通行证。

当你通过钱包在 Web3 世界中探索体验诸多的区块链相关应用和网站的过程中，你会发现在一条公链上每个应用都是使用钱包 “登录”；这与我们传统意义上的 “登录” 不同，在 Web2 世界中，每个应用之间的账户不全是互通的。但在 Web3 的世界中，所有应用都是统一使用钱包去进行 “登录”，我们可以看到 “登录” 钱包时显示的不是 “Login with Wallet”，取而代之的是 “Connect Wallet”。而钱包是你在 Web3 世界中的唯一通行证。

俗话说高楼之下必有阴影，在如此火热的 Web3 世界里，钱包作为入口级应用，自然也被黑灰产业链盯上。

慢雾：针对传言火币信息泄漏事件不涉及用户账户与资金安全 请保持客观冷静对待:据官方消息，慢雾注意到近日有白帽子公开了此前一个火币已经处理完毕的过往漏洞信息。经慢雾与火币官方确认，火币本着负责任披露信息的策略，对本次事件做以下说明：本次事件是小范围内（4000人）的用户联络信息泄露，信息种类不涉及敏感信息，不涉及用户账户与资金安全。事件发生于2021年6月22日日本站测试环境S3桶相关人员不规范操作导致，相关用户信息于2022年10月8日已经完全隔离，日本站与火币全球站无关。本次事件由白帽团队发现后，火币安全团队2023年6月21日（10天前）已第一时间进行处理，立即关闭相关文件访问权限，当前漏洞已修复，所有相关用户信息已经删除。感谢白帽团队对于火币安全做出的贡献。最后提醒请大家冷静对待，切勿传谣。[2023/7/1 22:12:01]

在 Android 环境下，由于很多手机不支持 Google Play 或者因为网络问题，很多人会从其他途径下载 Google Play 的应用，比如：apkcombo、apkpure 等第三方下载站，这些站点往往标榜自己 App 是从 Google Play 镜像下载的，但是其真实安全性如何呢？

慢雾：美国演员SethGreen的NFT遭钓鱼攻击，资金已跨链到 BTC 并混币:5月18日消息，美国演员SethGreen遭遇钓鱼攻击致4个NFT（包括1个BAYC、2个MAYC和1个Doodle）被盗，钓鱼者地址已将NFT全部售出，获利近160枚ETH（约33万美元）。

慢雾MistTrack对0xC8a0907开头的钓鱼地址分析后，发现总共有8个用户的NFT被盗，包含MAYC、Doodle、BAYC、VOX等12类NFT，全部售出后总获利194ETH。同时，该钓鱼地址初始资金0.188ETH来自Change NOW。钓鱼者地址将大部分ETH转换为renBTC后跨链到6个BTC地址，约14BTC均通过混币转移以躲避追踪。NFT钓鱼无处不在，请大家保持怀疑，提高警惕。[2022/5/18 3:24:23]

网站分析

鉴于下载途径众多，我们今天以 apkcombo 为例看看，apkcombo 是一个第三方应用市场，它提供的应用据官方说大部分来源于其他正规应用商店，但事实是否真如官方所说呢？

慢雾：有用户遭钓鱼攻击，在OpenSea上架的NFT以极低匹配价格售出:据慢雾消息，有用户在 OpenSea 挂单售卖的 NFT 被恶意的以远低于挂单价匹配买。经慢雾安全团队分析，此是由于该受害用户遭受钓鱼攻击，错误的对攻击者精心构造的恶意订单进行签名，恶意订单中指定了极低的出售价格、买方地址为攻击者以及出售 NFT 为受害用户在 OpenSea 上架的待出售 NFT。攻击者使用受害用户已签名的出售订单以及攻击者自己的购买订单在 OpenSea 中进行匹配，并以攻击者指定的极低价格成交，导致受害用户的 NFT 以非预期的价格售出。[2021/12/11 7:31:47]

我们先看下 apkcombo 的流量有多大：

据数据统计站点 similarweb 统计，apkcombo 站点：

全球排名：1,809

慢雾：Furucombo被盗资金发生异动，多次使用1inch进行兑换:据慢雾MistTrack，2月28日攻击Furucombo的黑客地址（0xb624E2...76B212）于今日发生异动。黑客通过1inch将342 GRO、69 cWBTC、1700万cUSDC兑换成282 ETH，并将147ETH从Compound转入到自己的地址，截至目前该黑客地址余额约170万美元，另一个黑客地址余额为约1200万美元。[2021/3/3 18:12:14]

国家排名：7,370

品类排名：168

我们可以看到它的影响力和流量都非常大。

它默认提供了一款 chrome APK 下载插件，我们发现这款插件的用户数达到了 10 W+：

那么回到我们关注的 Web3 领域中钱包方向，用户如果从这里下载的钱包应用安全性如何？

动态 | 慢雾：巨鲸被盗2.6亿元资产，或因Blockchain.info安全体系存在缺陷:针对加密巨鲸账户（zhoujianfu）被盗价值2.6亿元的BTC和BCH，慢雾安全团队目前得到的推测如下：该大户私钥自己可以控制，他在Reddit上发了BTC签名，已验证是对的，且猜测是使用了一款很知名的去中心化钱包服务，而且这种去中心化钱包居然还需要SIM卡认证，也就是说有用户系统，可以开启基于SIM卡的短信双因素认证，猜测可能是Blockchain.info，因为它吻合这些特征，且历史上慢雾安全团队就收到几起Blockchain.info用户被盗币的威胁情报，Blockchain.info的安全体系做得并不足够好。目前慢雾正在积极跟进更多细节，包括与该大户直接联系以及尽力提供可能需求的帮助。[2020/2/22]

我们拿知名的 imToken 钱包为例，其 Google Play 的正规下载途径为：

https://play.google.com/store/apps/details?id=im.token.app

由于很多手机不支持 Google Play 或者因为网络问题，很多人会从这里下载 Google Play 的应用。

而 apkcombo 镜像站的下载路径为：

https://apkcombo.com/downloader/#package=im.token.app

上图我们可以发现，apkcombo 提供的版本为 24.9.11，经由 imToken 确认后，这是一个并不存在的版本！证实这是目前市面上假 imToken 钱包最多的一个版本。

在编写本文时 imToken 钱包的最新版本为 2.11.3，此款钱包的版本号很高，显然是为了伪装成一个最新版本而设置的。

如下图，我们在 apkcombo 上发现，此假钱包版本显示下载量较大，此处的下载量应该是爬取的 Google Play 的下载量信息，安全起见，我们觉得有必要披露这个恶意 App 的来源，防止更多的人下载到此款假钱包。

同时我们发现类似的下载站还有如：uptodown

下载地址：https://imtoken.br.uptodown.com/android

我们发现 uptodown 任意注册即可发布 App，这导致钓鱼的成本变得极低：

在之前我们已经分析过不少假钱包的案例，如：2021-11-24 我们披露：《慢雾：假钱包 App 已致上万人被盗，损失高达十三亿美元》，所以在此不再赘述。

我们仅对 apkcombo 提供版本为 24.9.11 这款假钱包进行分析，在开始界面创建钱包或导入钱包助记词时，虚假钱包会将助记词等信息发送到钓鱼网站的服务端去，如下图：

根据逆向 APK 代码和实际分析流量包发现，助记词发送方式：

看下图，最早的 “api.funnel.rocks” 证书出现在 2022-06-03，也就是攻击开始的大概时间：

俗话说一图胜千言，最后我们画一个流程图：

目前这种局活动不仅活跃，甚至有扩大范围的趋势，每天都有新的受害者受。用户作为安全体系最薄弱的环节，应时刻保持怀疑之心，增强安全意识与风险意识，当你使用钱包、交易所时请认准官方下载渠道并从多方进行验证；如果你的钱包从上述镜像站下载，请第一时间转移资产并卸载该软件，必要时可通过官方验证通道核实。

同时，如需使用钱包，请务必认准以下主流钱包 App 官方网址：

请持续关注慢雾安全团队，更多 Web3 安全风险分析与告警正在路上。

致谢：感谢在溯源过程中 imToken 官方提供的验证支持。

由于保密性和隐私性，本文只是冰山一角。慢雾在此建议，用户需加强对安全知识的了解，进一步强化甄别网络钓鱼攻击的能力等，避免遭遇此类攻击。

慢雾科技

个人专栏

阅读更多

金色荐读

金色财经 善欧巴

Chainlink预言机

白话区块链

金色早8点

Odaily星球日报

欧科云链

深潮TechFlow

MarsBit

Arcane Labs

标签：COMWEBAPKCOMBYearn Compounding veCRV yVaultweb3域名交易记录bybit下载apkComBit

火必热门资讯