慢霧：Discord私信釣魚手法分析_TCH

事件背景

5月16日凌晨，當我在尋找家人的時候，從項目官網的邀請鏈接加入了官方的Discord服務器。在我加入服務器后立刻就有一個"機器人"(Captcha.bot)發來私信要我進行人機驗證。這一切看起來相當的合理。我也點擊了這個驗證鏈接進行查看。

釣魚手法分析

我訪問"機器人"(Captcha.bot)發來的鏈接后，是有讓我進行人機驗證的，但是當我驗證通過后，發現它要求喚起我的小狐貍(MetaMask)錢包，喚起的錢包界面挺真實的，如下圖所示，但是我看到了錢包的地址欄顯示"about:blank"這引起了我的警惕，如果是插件喚起的就不會有這個"about:blank"的地址欄了。接下來我隨意輸入了密碼，并且通過審查元素查看，確定這個小狐貍(MetaMask)界面是由虛假網站"https://captcha.fm/"彈出的，并不是真實的錢包界面，于是我開始調試這個錢包。

慢霧：警惕 Honeyswap 前端被篡改導致 approvals 到惡意地址風險:據慢霧區消息，Honeyswap官方推特發文，Honeyswap 前端錯誤導致交易到惡意地址 “0xD3888a7E6D6A05c6b031F05DdAF3D3dCaB92FC5B” ，目前官網仍未刪除該惡意地址，請立即停止使用Honeyswap進行交易，到revoke.cash排查是否有approvals 交易到惡意地址，避免不必要的損失。[2022/5/10 3:03:22]

在隨意輸入密碼后，這個虛假的錢包界面進入到"SecurityCheck"界面，要求我輸入助記詞進行驗證。注意，輸入的密碼和和助記詞會被加密發送到惡意站點的服務端。

慢霧：DEUS Finance 二次被黑簡析:據慢霧區情報，DEUS Finance DAO在4月28日遭受閃電貸攻擊，慢霧安全團隊以簡訊的形式將攻擊原理分享如下:

1.攻擊者在攻擊之前先往DeiLenderSolidex抵押了SolidexsAMM-USDC/DEI的LP。

2.在幾個小時后攻擊者先從多個池子閃電貸借出143200000USDC。

3.隨后攻擊者使用借來的USDC在BaseV1Pair進行了swap操作，兌換出了9547716.9個的DEI，由于DeiLenderSolidex中的getOnChainPrice函數是直接獲取DEI-USDC交易對的代幣余額進行LP價格計算。因此在此次Swap操作中將拉高getOnChainPrice函數獲取的LP價格。

4.在進行Swap操作后，攻擊者在DeiLenderSolidex合約中通過borrow函數進行借貸，由于borrow函數中用isSolvent進行借貸檢查，而在isSolvent是使用了getOnChainPrice函數參與檢查。但在步驟3中getOnChainPrice的結果已經被拉高了。導致攻擊者超額借出更多的DEI。

5.最后著攻擊者在把用借貸出來DEI兌換成USDC歸還從幾個池子借出來的USDC，獲利離場。

針對該事件，慢霧安全團隊給出以下防范建議：本次攻擊的原因主要在于使用了不安全的預言機來計算LP價格，慢霧安全團隊建議可以參考Alpha Finance關于獲取公平LP價格的方法。[2022/4/28 2:37:18]

慢霧:BSC鏈上項目BXH遭受攻擊分析:10月30日消息，據慢霧區情報，2021年10月30日，幣安智能鏈上(BSC)去中心化交易協議BXH項目遭受攻擊，被盜約1.3億美金。經慢霧安全團隊分析，黑客于27日13時(UTC)部署了攻擊合約0x8877，接著在29日08時(UTC)BXH項目管理錢包地址0x5614通過grantRole賦予攻擊合約0x8877管理權限。30日03時(UTC)攻擊者通過攻擊合約0x8877的權限從BXH策略池資金庫中將其管理的資產轉出。30日04時(UTC)0x5614暫停了資金庫。因此BXH本次被盜是由于其管理權限被惡意的修改，導致攻擊者利用此權限轉移了項目資產。[2021/10/30 6:22:02]

通過分析域名可以發現，這惡意域名captcha.fm解析到了172.67.184.152和104.21.59.223，但是都是托管在cloudflare上，只能是反手一個舉報了。

分析 | 慢霧：韓國交易所 Bithumb XRP 錢包也疑似被黑:Twitter 上有消息稱 XRP 地址（rLaHMvsPnPbiNQSjAgY8Tf8953jxQo4vnu）被盜 20,000,000 枚 XRP（價值 $6,000,000），通過慢霧安全團隊的進一步分析，疑似攻擊者地址（rBKRigtRR2N3dQH9cvWpJ44sTtkHiLcxz1）于 UTC 時間 03/29/2019?13:46 新建并激活，此后開始持續 50 分鐘的“盜幣”行為。此前慢霧安全團隊第一時間披露 Bithumb EOS 錢包（g4ydomrxhege）疑似被黑，損失 3,132,672 枚 EOS，且攻擊者在持續洗幣。更多細節會繼續披露。[2019/3/30]

分析惡意賬號

下載保存好惡意站點的源碼后，我將情報發給了項目方團隊，并開始分析這次釣魚攻擊的賬號。由于我剛加入家人群，就收到了下面的這個地址發來的驗證消息。經過分析，這個賬號是一個偽裝成Captcha.bot機器人的普通賬號，當我加入到官方服務器后，這個假Captcha.bot機器人立刻從官方服務器私發我假的人機驗證鏈接，從而引導我輸入錢包密碼和助記詞。

我在相關頻道里面搜索了Captcha.bot，發現有好幾個假Captcha.bot，于是將這幾個賬號也一并同步給了項目方團隊，項目方團隊很給力，也很及時地進行了處理，把這幾個假Captcha.bot刪除了，并一起討論了可能的防范方式。

再次收到釣魚鏈接

事情還沒結束，第二天早上又一位慢霧的小伙伴加入到官方Discord服務器中，再次收到惡意賬戶發來的私信，里面包含著一個釣魚鏈接，不同的是，這次的釣魚者直接偽裝成官方的賬戶發送私信。

這次釣魚者講的故事是在鏈接中導入助記詞進行身份驗證，然而不是采用假小狐貍(MetaMask)的界面來欺騙用戶，而是直接在頁面上引導用戶輸入助記詞了，這個釣魚手法就沒這么真。釣魚網站的域名和IP是app.importvalidator.org47.250.129.219，用的是阿里云的服務，同樣反手一個舉報。

釣魚防范方式

各種釣魚手法和事件層出不窮，用戶要學會自己識別各種釣魚手法避免被騙，項目方也要加強對用戶安全意識的教育。用戶在加入Discord后要在隱私功能中禁止服務器中的用戶進行私聊。同時用戶也需要提高自己的安全意識，學會識別偽裝MetaMask的攻擊手法，網頁喚起MetaMask請求進行簽名的時候要識別簽名的內容，如果不能識別簽名是否是惡意的就拒絕網頁的請求。在參與Web3項目的時候無論何時何地都不要在網頁上導入私鑰/助記詞。盡可能地使用硬件錢包，由于硬件錢包一般不能直接導出助記詞或私鑰，所以可以提高助記詞私鑰被盜門檻。項目方團隊也要時刻關注社區用戶的反饋，及時在社區Discord服務器中刪除惡意賬戶，并在用戶剛加入Discord服務器時進行防釣魚的安全教育。Discord隱私設置和安全配置參考鏈接：https://discord.com/safety/360043857751-Four-steps-to-a-super-safe-accounthttps://support.discord.com/hc/en-us/articles/217916488-Blocking-Privacy-Settings-

Tags：CHAQUOTCHCAPTDocuChainQUON幣Matching gameCAPT價格

XRP