9 月 4 日，推特用户 Phantom X 发推称朝鲜 APT 组织针对数十个 ETH 和 SOL 项目进行大规模的网络钓鱼活动。
（https://twitter.com/PhantomXSec/status/1566219671057371136 ）
该推特用户给出了 196 个钓鱼域名信息，分析后关联到朝鲜黑客相关信息，具体的域名列表如下：
（https://pastebin.com/UV 9 pJN 2 M）
慢雾安全团队注意到该事件并第一时间跟进深入分析：
（https://twitter.com/IM_ 23 pds/status/1566258373284093952 ）
由于朝鲜黑客针对加密货币行业的攻击模型多样化，我们披露的也只是冰山一角，因为一些保密的要求，本篇文章也仅针对其中一部分钓鱼素材包括相关钓鱼钱包地址进行分析。这里将重点针对 NFT 钓鱼进行分析。
慢雾：过去一周Web3生态系统因安全事件损失近160万美元:6月26日消息，慢雾发推称，过去一周Web3生态系统因安全事件损失近160万美元，包括MidasCapital、Ara、VPANDADAO、Shido、Slingshot、IPO、Astaria。[2023/6/26 22:00:21]
经过深入分析，发现此次钓鱼的其中一种方式是发布虚假 NFT 相关的、带有恶意 Mint 的诱饵网站，这些 NFT 在 OpenSea、X2Y2 和 Rarible 等平台上都有出售。此次 APT 组织针对 Crypto 和 NFT 用户的钓鱼涉及将近 500 多个域名。
查询这些域名的注册相关信息，发现注册日期最早可追溯到 7 个月前：
同时我们也发现朝鲜黑客常使用的一些独有的钓鱼特征：
特征一：钓鱼网站都会记录访客数据并保存到外部站点。黑客通过 HTTP GET 请求将站点访问者信息记录到外部域，发送请求的域名虽不同但是请求的 API 接口都为 “/postAddr.php”。一般格式为 “https://nserva.live/postAddr.php? mmAddr=...[Metamask]...&accessTime=xxx&url=evil.site”，其中参数 mmAddr 记录访客的钱包地址，accessTime 记录访客的访问时间，url 记录访客当前所访问的钓鱼网站链接。
慢雾：LendHub疑似被攻击损失近600万美金，1100枚ETH已转移到Tornado Cash:金色财经报道，据慢雾区情报，HECO生态跨链借贷平台LendHub疑似被攻击，主要黑客获利地址为0x9d01..ab03。黑客于1月12日从Tornado.Cash接收100ETH后，将部分资金跨链到Heco链展开攻击后获利，后使用多个平台（如TransitSwap、Multichain、Uniswap、Curve和OptimismBridge）跨链或兑换被盗资金。截至目前，黑客已分11笔共转1,100ETH到Tornado.Cash。被攻击的具体原因尚待分析，慢雾安全团队将持续跟进此事件。[2023/1/13 11:10:43]
特征二：钓鱼网站会请求一个 NFT 项目价目表，通常 HTTP 的请求路径为 “getPriceData.php”：
特征三：存在一个链接图像到目标项目的文件 “imgSrc.js”，包含目标站点列表和在其相应网络钓鱼站点上使用的图像文件的托管位置，这个文件可能是钓鱼网站模板的一部分。
慢雾：Gate官方Twitter账户被盗用，谨慎互动:10月22日消息，安全团队慢雾发文称：加密平台Gate官方Twitter账户被盗用，谨慎互动。半小时前，攻击者利用该账户发文，诱导用户进入虚假网站连接钱包。此外，慢雾科技创始人余弦在社交媒体上发文表示：注意下，Gate官方推特应该是被黑了，发送了钓鱼信息，这个网址 g?te[.]com 是假的（之前谈过的 Punycode 字符有关的钓鱼域名），如果你去Claim会出现eth_sign这种签名钓鱼，可能导致ETH等相关资产被盗。[2022/10/22 16:35:14]
进一步分析发现 APT 用于监控用户请求的主要域名为 “thedoodles.site”，此域名在 APT 活动早期主要用来记录用户数据：
查询该域名的 HTTPS 证书启用时间是在 7 个月之前，黑客组织已经开始实施对 NFT 用户对攻击。
最后来看下黑客到底运行和部署了多少个钓鱼站点：
比如最新的站点伪装成世界杯主题：
慢雾：yearn攻击者利用闪电贷通过若干步骤完成获利:2021年02月05日，据慢雾区情报，知名的链上机池yearnfinance的DAI策略池遭受攻击，慢雾安全团队第一时间跟进分析，并以简讯的形式给大家分享细节，供大家参考：
1.攻击者首先从dYdX和AAVE中使用闪电贷借出大量的ETH；
2.攻击者使用从第一步借出的ETH在Compound中借出DAI和USDC；
3.攻击者将第二部中的所有USDC和大部分的DAI存入到CurveDAI/USDC/USDT池中，这个时候由于攻击者存入流动性巨大，其实已经控制CruveDAI/USDC/USDT的大部分流动性；
4.攻击者从Curve池中取出一定量的USDT，使DAI/USDT/USDC的比例失衡，及DAI/（USDT&USDC)贬值；
5.攻击者第三步将剩余的DAI充值进yearnDAI策略池中，接着调用yearnDAI策略池的earn函数，将充值的DAI以失衡的比例转入CurveDAI/USDT/USDC池中，同时yearnDAI策略池将获得一定量的3CRV代币；
6.攻击者将第4步取走的USDT重新存入CurveDAI/USDT/USDC池中，使DAI/USDT/USDC的比例恢复；
7.攻击者触发yearnDAI策略池的withdraw函数，由于yearnDAI策略池存入时用的是失衡的比例，现在使用正常的比例体现，DAI在池中的占比提升，导致同等数量的3CRV代币能取回的DAI的数量会变少。这部分少取回的代币留在了CurveDAI/USDC/USDT池中；
8.由于第三步中攻击者已经持有了CurveDAI/USDC/USDT池中大部分的流动性，导致yearnDAI策略池未能取回的DAI将大部分分给了攻击者9.重复上述3-8步骤5次，并归还闪电贷，完成获利。参考攻击交易见原文链接。[2021/2/5 18:58:47]
继续根据相关的 HTTPS 证书搜索得到相关的网站主机信息：
声音 | 慢雾：ETC 51%双花攻击所得的所有ETC已归还完毕:据慢雾区消息，ETC 51%攻击后续：继Gate.io宣称攻击者归还了价值10万美金的ETC后，另一家被成功攻击的交易所Yobit近日也宣称收到了攻击者归还的122735 枚 ETC。根据慢雾威胁情报系统的深度关联分析发现：攻击者于UTC时间2019年1月10日11点多完成了攻击所获的所有ETC的归还工作，至此，持续近一周的 ETC 51% 阴云已散。[2019/1/16]
在一些主机地址中发现了黑客使用的各种攻击脚本和统计受害者信息的 txt 文件。
这些文件记录了受害者访问记录、授权情况、使用插件钱包的情况：
可以发现这些信息跟钓鱼站点采集的访客数据相吻合。
其中还包括受害者 approve 记录：
以及签名数据 sigData 等，由于比较敏感此处不进行展示。
另外，统计发现主机相同 IP 下 NFT 钓鱼站群，单独一个 IP 下就有 372 个 NFT 钓鱼站点：
另一个 IP 下也有 320 个 NFT 钓鱼站群：
甚至包括朝鲜黑客在经营的一个 DeFi 平台：
由于篇幅有限，此处不再赘述。
结合之前文章，我们对此次钓鱼事件的核心代码进行了分析。我们发现黑客钓鱼涉及到 WETH、USDC、DAI、UNI 等多个地址协议。
下面代码用于诱导受害者进行授权 NFT、ERC 20 等较常见的钓鱼 Approve 操作：
除此之外，黑客还会诱导受害者进行 Seaport、Permit 等签名。
下面是这种签名的正常样例，只是在钓鱼网站中不是 “opensea.io” 这个域名。
我们在黑客留下的主机也发现了这些留存的签名数据和 “Seaport” 的签名数据特征一致。
由于这类型的签名请求数据可以“离线存储”，黑客在拿到大量的受害者签名数据后批量化的上链转移资产。
对钓鱼网站及手法分析后，我们选取其中一个钓鱼地址（0xC0fd...e0ca）进行分析。
可以看到这个地址已被 MistTrack 标记为高风险钓鱼地址，交易数也还挺多。钓鱼者共收到 1055 个 NFT，售出后获利近 300 ETH。
往上溯源，该地址的初始资金来源于地址（0 x 2 e 0 a...DA 82 ）转入的 4.97 ETH。往下溯源，则发现该地址有与其他被 MistTrack 标记为风险的地址有交互，以及有 5.7 ETH 转入了 FixedFloat。
再来分析下初始资金来源地址（0 x 2 e 0 a...DA 82 ），目前收到约 6.5 ETH。初始资金来源于 Binance 转入的 1.433 ETH。
同时，该地址也是与多个风险地址进行交互。
由于保密性和隐私性，本文仅针对其中一部分 NFT 钓鱼素材进行分析，并提炼出朝鲜黑客的部分钓鱼特征，当然，这只是冰山一角。慢雾在此建议，用户需加强对安全知识的了解，进一步强化甄别网络钓鱼攻击的能力等，避免遭遇此类攻击。
Ps. 感谢 hip、ScamSniffer 提供的支持。
相关链接：
https://www.prevailion.com/what-wicked-webs-we-unweave
https://twitter.com/PhantomXSec/status/1566219671057371136
https://twitter.com/evilcos/status/1603969894965317632
慢雾科技
个人专栏
阅读更多
金色财经 子木
金色早8点
去中心化金融社区
虎嗅科技
区块律动BlockBeats
CertiK中文社区
深潮TechFlow
念青
Odaily星球日报
腾讯研究院
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。