慢霧：29枚Moonbirds NFT被盜事件溯源分析

發表於 2022-05-28 15:56 作者： 區塊律動BlockBeats

事件背景  

5 月 25 日，推特用戶 @0xLosingMoney 稱監測到 ID 爲 @Dvincent_ 的用戶通過釣魚網站 p2peers.io 盜走了 29 枚 Moonbirds 系列 NFT，價值超 70 萬美元，釣魚網站目前已無法訪問。該用戶表示，域名 sarek.fi 和 p2peers.io 都曾在過去的黑客事件中被使用。  

推特原文

搜集相關信息  

慢霧安全團隊收到相關情報並針對此次被盜事件進行朔源分析。

我們开始在 Twitter 上搜集並分析此釣魚事件的相關信息時，發現 @Dvincent_ 就是黑客的 Twitter 账號，目前該账戶已經被注銷。而根據 5 月 10 日的記錄，推特用戶 @just1n_eth（BAYC 系列 NFT 持有者）就表示 @Dvincent_ 曾與其聯系交易 BAYC NFT，但由於對方堅持使用 p2peers.io，交易最後並未達成。  

推特原文

在該推特評論下用戶 @jbe61 表示自己曾遇到同一個人並給出了對話截圖：  

5 月 25 日晚，@0xLosingMoney 繼續在 Twitter 公布了黑客的錢包等相關信息。  

推特原文

下面是 @0xLosingMoney 給出的黑客地址：

· 0xe8250Bb4eFa6D9d032f7d46393CEaE18168A6B0D

· 0x8e73fe4d5839c60847066b67ea657a67f42a0adf

· 0x6035B92fd5102b6113fE90247763e0ac22bfEF63

· 0xBf41EFdD1b815556c2416DcF427f2e896142aa53

· 0x29C80c2690F91A47803445c5922e76597D1DD2B6

相關地址分析  

由於整個被盜事件都提到「p2peers.io」這個釣魚網站，所以我們從此處开始入手。這個在芬蘭某域名公司注冊的 p2peers 網站已被暫停使用，我們最終在谷歌網頁快照中尋找到了該網站首頁的信息。  

根據網頁快照可以發現 https://p2peers.io/ 的前端代碼，其中主要的 JS 代碼是「js/app.eb17746b.js」。

由於已經無法直接查看 JS 代碼，利用 Cachedview 網站的快照歷史記錄查到在 2022 年 4 月 30 日主要的 JS 源代碼。

通過對 JS 的整理，我們查到了代碼中涉及到的釣魚網站信息和交易地址。

在代碼 912 行發現 approve 地址：

0x7F748D5fb52b9717f83Ed69f49fc4c2f15d83b6A

在代碼 3407 行同樣發現關於 approve 相關操作的地址：

0xc9E39Ad832cea1677426e5fA8966416337F88749

我們开始分析這兩個地址的交易記錄：

0x7F748D5fb52b9717f83Ed69f49fc4c2f15d83b6A

0xc9E39Ad832cea1677426e5fA8966416337F88749

首先在 Etherscan 查詢發現 0x7F7...b6A 是一個惡意合約地址：

而這個惡意合約的創建者（攻擊者）是地址：

0xd975f8c82932f55c7cef51eb4247f2bea9604aa3，發現這個地址有多筆 NFT 交易記錄：

我們在 NFTGO 網站進一步查看，根據該地址目前 NFT 持有情況，發現被盜 NFT 目前都停留在此地址上還沒有售出，總價值約爲 225,475 美元。  

而使用 NFTSCAN 發現 NFT 數量一共是 21 個，價值 96.5 枚 ETH。  

繼續使用 MistTrack 分析攻擊者地址交易歷史：  

可以發現該地址的 ETH 交易次數並不多只有 12 次，余額只有 0.0615 枚 ETH。  

0xc9E39Ad832cea1677426e5fA8966416337F88749 也是合約地址，合約創建者是 0x6035B92fd5102b6113fE90247763e0ac22bfEF63，這個地址在 @0xLosingMoney 公布的黑客地址名單中也有提到。  

使用 MistTrack 發現這個地址余額同樣不多，入账有 21 筆而出账有 97 筆，其中已轉出共 106.2 枚 ETH。  

查看入账和出账信息，可以發現多筆轉到 Tornado.Cash，說明黑客已經通過各種手法將盜來的幣進行來轉移。

黑客使用 moralis 服務作惡

我們在 JS 代碼 409 行發現使用到了域名爲 usemoralis.com 的服務接口：

其中 2053 端口是 API 地址，而 2083 端口則是後台登錄地址。  

通過查詢發現 usemoralis.com 這個域名上有大量 NFT 相關網站，其中不少是屬於釣魚網站。

通過谷歌搜索發現不少 NFT 的站點，並發現多個子域信息。

於是我們遍歷和查詢 usemoralis.com 的子域名，發現共存在 3 千多個相關子域站點部署在 cloudflare 上。  

進一步了解我們發現這些站點都是來自 moralis 提供的服務：  

moralis 是一個專門提供針對 Web3 开發和構建 DApps 的服務。  

我們發現注冊後就可以得到接口地址和一個管理後台，這使得制作釣魚網站作惡成本變得非常低。

發現詐騙後台並關聯到釣魚事件

繼續分析 JS 代碼，在 368 行發現有將受害者地址提交到網站域名爲 pidhnone.se 的接口。

經過統計，域名爲 pidhnone.se 的接口有：

· https://pidhnone.se/api/store/log

· https://pidhnone.se/api/self-spoof/

· https://pidhnone.se/api/address/

· https://pidhnone.se/api/crypto/

進一步分析發現 https://pidhnone.se/login 其實是黑客操作的詐騙控制後台，用來管理詐騙資產等信息。

根據後台地址的接口拼接上地址，可以看到攻擊地址和受害者的地址。  

後台還存留關於圖片信息和相關接口操作說明文字，可以看出來是非常明顯的詐騙網站操作說明。  

我們分析後台裏面涉及的信息，如圖片：

https://pidhnone.se/images/recent.png?f53959585e0db1e6e1e3bc66798bf4f8

https://pidhnone.se/images/2.gif?427f1b04b02f4e7869b1f402fcee11f6

https://pidhnone.se/images/gif.gif?24229b243c99d37cf83c2b4cdb4f6042

https://pidhnone.se/images/landing.png?0732db576131facc35ac81fa15db7a30

https://pidhnone.se/images/ss-create.png?1ad1444586c2c3bb7d233fbe7fc81d7d

https://pidhnone.se/images/self-spoof.png?25e4255ee21ea903c40d1159ba519234

這裏面涉及黑客歷史使用過的的釣魚網站信息，如 nftshifter.io：  

以 nftshifter.io 這個釣魚網站爲例：  

在 Twitter 上查找相關記錄可以看到 2022 年 3 月 25 日有受害者訪問過該釣魚網站並公布出來。  

使用相同的方式分析  nftshifter.io：  

得到 JS 源代碼並進行分析：  

可以發現同樣也是採用 moralis 的服務和 https://pidhnone.se/ 這個詐騙後台進行控制。

其中相關的惡意地址：

釣魚者合約：

0x8beebade5b1131cf6957f2e8f8294016c276a90f

合約創建者：

0x9d194CBca8d957c3FA4C7bb2B12Ff83Fca6398ee

創建合約時間：

Mar-24-2022 09:05:33 PM +UTC 

同時我們發現與這個攻擊者相同的惡意合約代碼有 9 個：  

隨機看一個惡意合約 0xc9E...749，創建者地址爲

0x6035B92fd5102b6113fE90247763e0ac22bfEF63：

相同的手法，都已經洗幣。每個惡意合約上都已經有受害者的記錄，此處不一一分析。

我們再來看下受害者時間：  

剛好是在攻擊者創建惡意釣魚之後，有用戶上當受騙。

攻擊者已將 NFT 售出，變賣爲 ETH，我們使用 MistTrack 分析攻擊者地址

0x9d194cbca8d957c3fa4c7bb2b12ff83fca6398ee：

可以看到 51 ETH 已經轉入 Tornado.Cash 洗幣。同時，目前 Twitter 上攻擊者的账戶 @nftshifter_io 已經被凍結無法查看。

總結

可以確認的是，攻擊一直在發生，而且有成熟的產業鏈。截止到發文前黑客地址仍有新的 NFT 入账和交易進行。黑客進行釣魚攻擊往往已成規模化批量化，制作一個釣魚模版就可以批量復制出大量不同 NFT 項目的釣魚網站。當作惡成本變得非常低的時候，更需要普通用戶提高警惕，加強安全意識，時刻保持懷疑，避免成爲下一個受害者。

來源：慢霧科技

作者：山哥&耀，慢霧安全團隊

標題：慢霧：29枚Moonbirds NFT被盜事件溯源分析

地址：https://www.coinsdeep.com/article/3169.html

鄭重聲明：本文版權歸原作者所有，轉載文章僅為傳播信息之目的，不構成任何投資建議，如有侵權行為，請第一時間聯絡我們修改或刪除，多謝。