慢霧：Solana 公鏈大規模盜幣事件的分析_WAL

2022 年 8 月 3 日，Solana 公鏈上發生大規模盜幣的事件，大量用戶在不知情的情況下被轉移 SOL 和 SPL 代幣，慢霧安全團隊對此事件進行跟蹤和分析，從鏈上行為到鏈下的應用逐一排查，目前已有新的進展。

Slope 錢包團隊邀請慢霧安全團隊一同分析和跟進，經過持續的跟進和分析，Solana foundation 提供的數據顯示近 60% 被盜用戶使用 Phantom 錢包，30% 左右地址使用 Slope 錢包，其余用戶使用 Trust Wallet 等，并且 iOS 和 Android 版本的應用都有相應的受害者，于是我們開始聚焦分析錢包應用可能的風險點。

分析過程

在分析 Slope Wallet（Android, Version: 2.2.2）的時候，發現 Slope Wallet（Android, Version: 2.2.2）使用了 Sentry 的服務，Sentry 是一個被廣泛應用的服務，Sentry 運行在 o7e.slope.finance 域名下，在創建錢包的時候會將助記詞和私鑰等敏感數據發送到 https://o7e.slope.finance/api/4/envelope/。

慢霧：針對傳言火幣信息泄漏事件不涉及用戶賬戶與資金安全 請保持客觀冷靜對待:據官方消息，慢霧注意到近日有白帽子公開了此前一個火幣已經處理完畢的過往漏洞信息。經慢霧與火幣官方確認，火幣本著負責任披露信息的策略，對本次事件做以下說明：本次事件是小范圍內（4000人）的用戶聯絡信息泄露，信息種類不涉及敏感信息，不涉及用戶賬戶與資金安全。事件發生于2021年6月22日日本站測試環境S3桶相關人員不規范操作導致，相關用戶信息于2022年10月8日已經完全隔離，日本站與火幣全球站無關。本次事件由白帽團隊發現后，火幣安全團隊2023年6月21日（10天前）已第一時間進行處理，立即關閉相關文件訪問權限，當前漏洞已修復，所有相關用戶信息已經刪除。感謝白帽團隊對于火幣安全做出的貢獻。最后提醒請大家冷靜對待，切勿傳謠。[2023/7/1 22:12:01]

慢霧：Transit Swap事件中轉移到Tornado Cash的資金超過600萬美元:金色財經報道，慢霧 MistTrack 對 Transit Swap 事件資金轉移進行跟進分析，以下將分析結論同步社區：

Hacker#1 攻擊黑客（盜取最大資金黑客），獲利金額：約 2410 萬美元

1: 0x75F2...FFD46

2: 0xfa71...90fb

已歸還超 1890 萬美元的被盜資金；12,500 BNB 存款到 Tornado Cash；約 1400 萬 MOONEY 代幣和 67,709 DAI 代幣轉入 ShibaSwap: BONE Token 合約地址。

Hacker#2 套利機器人-1，獲利金額：1,166,882.07 BUSD

0xcfb0...7ac7(BSC)

保留在獲利地址中，未進一步轉移。

Hacker#3 攻擊模仿者-1，獲利金額：356,690.71 USDT

0x87be...3c4c(BSC)

Hacker#4 套利機器人-2，獲利金額：246,757.31 USDT

0x0000...4922(BSC)

已全部追回。

Hacker#5 套利機器人-3，獲利金額：584,801.17 USDC

0xcc3d...ae7d(BSC)

USDC 全部轉移至新地址 0x8960...8525，后無進一步轉移。

Hacker#6 攻擊模仿者-2，獲利金額：2,348,967.9 USDT

0x6e60...c5ea(BSC)

Hacker#7 套利機器人-4，獲利金額：5,974.52 UNI、1,667.36 MANA

0x6C6B...364e(ETH)

通過 Uniswap 兌換為 30.17 ETH，其中 0.71 支付給 Flashbots，剩余 ETH 未進一步轉移。[2022/10/6 18:41:10]

繼續分析 Slope Wallet，我們發現 Version: >=2.2.0 的包中 Sentry 服務會將助記詞發送到 "o7e.slope.finance"，而 Version: 2.1.3 并沒有發現采集助記詞的行為。

慢霧：疑似Gemini相關地址在過去5小時內共轉出逾20萬枚ETH:金色財經消息，慢霧監測顯示，疑似加密交易所Gemini相關地址（0xea3ec2a08fee18ff4798c2d4725ded433d94151d）已在過去5小時內歸集并轉出逾20萬枚ETH（超3億美元）。[2022/7/19 2:22:08]

Slope Wallet 歷史版本下載：

https://apkpure.com/cn/slope-wallet/com.wd.wallet/versions

Slope Wallet（Android, >= Version: 2.2.0）是在 2022.06.24 及之后發布的，所以受到影響的是 2022.06.24 以及之后使用 Slope Wallet（Android, >= Version: 2.2.0）的用戶，但是根據部分受害者的反饋并不知道 Slope Wallet，也沒有使用 Slope Wallet。

慢霧：美國演員SethGreen的NFT遭釣魚攻擊，資金已跨鏈到 BTC 并混幣:5月18日消息，美國演員SethGreen遭遇釣魚攻擊致4個NFT（包括1個BAYC、2個MAYC和1個Doodle）被盜，釣魚者地址已將NFT全部售出，獲利近160枚ETH（約33萬美元）。

慢霧MistTrack對0xC8a0907開頭的釣魚地址分析后，發現總共有8個用戶的NFT被盜，包含MAYC、Doodle、BAYC、VOX等12類NFT，全部售出后總獲利194ETH。同時，該釣魚地址初始資金0.188ETH來自Change NOW。釣魚者地址將大部分ETH轉換為renBTC后跨鏈到6個BTC地址，約14BTC均通過混幣轉移以躲避追蹤。NFT釣魚無處不在，請大家保持懷疑，提高警惕。[2022/5/18 3:24:23]

那么按照 Solana foundation 統計的數據看，30% 左右受害者地址的助記詞可能被 Slope Wallet（Version: >=2.2.0）Sentry 的服務采集發送到了 Slope Wallet 的 https://o7e.slope.finance/api/4/envelope/ 服務器上。

但是另外 60% 被盜用戶使用的是 Phantom 錢包，這些受害者是怎樣被盜呢？

在對 Phantom（Version:22.07.11_65）錢包進行分析，發現 Phantom（Android, Version:22.07.11_65）也有使用 Sentry 服務來收集用戶的信息，但并沒有發現明顯的收集助記詞或私鑰的行為。（Phantom Wallet 歷史版本的安全風險慢霧安全團隊還在分析中）

一些疑問點

慢霧安全團隊還在不斷收集更多信息來分析另外 60% 被盜用戶被黑的原因，如果你有任何的思路歡迎一起討論，希望能一起為 Solana 生態略盡綿薄之力。如下是分析過程中的一些疑問點：

1. Sentry 的服務收集用戶錢包助記詞的行為是否屬于普遍的安全問題？

2. Phantom 使用了 Sentry，那么 Phantom 錢包會受到影響嗎？

3. 另外 60% 被盜用戶被黑的原因是什么呢？

4. Sentry 作為一個使用非常廣泛的服務，會不會是 Sentry 官方遭遇了入侵？從而導致了定向入侵虛擬貨幣生態的攻擊？

參考信息

已知攻擊者地址：

Htp9MGP8Tig923ZFY7Qf2zzbMUmYneFRAhSp7vSg4wxV

CEzN7mqP9xoxn2HdyW6fjEJ73t7qaX9Rp2zyS6hb3iEu

5WwBYgQG6BdErM2nNNyUmQXfcUnB68b6kesxBywh1J3n

GeEccGJ9BEzVbVor1njkBCCiqXJbXVeDHaXDCrBDbmuy

受害者地址：

https://dune.com/awesome/solana-hack

Solana foundation 統計的數據：

https://www.odaily.news/newsflash/294440

https://solanafoundation.typeform.com/to/Rxm8STIT?typeform-source=t.co

https://docs.google.com/spreadsheets/d/1hej7MnhI2T9IeyXpnESmMcIHwgxGucSGUxQ5FqHB9-8/edit#gid=1372125637（需要申請訪問權限）

Tags：SLOPEWALLWALLETSLOPE幣blockchain.infowalletIDtrustwallet錢包知乎unisatwallet錢包

NEAR