原文作者：山哥&耀@慢雾安全团队
NFT，价值超70万美元，钓鱼网站目前已无法访问。该用户表示，域名sarek.fi和p2peers.io都曾在过去的黑客事件中被使用。
搜集相关信息
慢雾安全团队收到相关情报并针对此次被盗事件进行朔源分析。
我们开始在Twitter上搜集并分析此钓鱼事件的相关信息时，发现@Dvincent_?就是黑客的Twitter账号，目前该账户已经被注销。而根据5月10日的记录，推特用户?@just1n_eth就表示?@Dvincent_?曾与其联系交易BAYCNFT，但由于对方坚持使用p2peers.io，交易最后并未达成。
5月25日晚，@0xLosingMoney?继续在Twitter公布了黑客的钱包等相关信息。
下面是?@0xLosingMoney?给出的黑客地址：
?0xe8250Bb4eFa6D9d032f7d46393CEaE18168A6B0D
?0x8e73fe4d5839c60847066b67ea657a67f42a0adf
?0x6035B92fd5102b6113fE90247763e0ac22bfEF63
SharkTeam：Hotbit News疑进行Rug Pull，获利约170万美元:金色财经报道，根据SharkTeam链上分析平台ChainAegis的安全监测显示，Hotbit_news疑似进行了一次大规模的Rug Pull行为，从用户那里抽走了大约170万美元的资产。其中一位受害者是RichQuack，他损失了大约25.4万美元的QUACK和USDT。BabyDogeCoin和DogelonMars也是这起案件的受害者，他们损失了超过100万美元的资产。建议所有相关方保持警惕，并采取必要的安全措施。[2023/7/6 22:20:40]
?0xBf41EFdD1b815556c2416DcF427f2e896142aa53
?0x29C80c2690F91A47803445c5922e76597D1DD2B6
根据网页快照可以发现https://p2peers.io/的前端代码，其中主要的JS代码是“js/app.eb17746b.js”。
由于已经无法直接查看JS代码，利用?Cachedview?网站的快照历史记录查到在2022年4月30日主要的JS源代码。
通过对JS的整理，我们查到了代码中涉及到的钓鱼网站信息和交易地址。
NBA Top Shot2月份销售额为4750万美元，环比下降19.35%:3月7日消息，NBA Top ShotNFT销售额在2月份大幅下降，相比1月份下降19.35%。事实证明，2月份对加密领域的投资者来说是艰难的一个月。DEX、数字资产价格、挖矿收入以及包括NBA Top Shot在内的几个主要NFT系列的销售额均大幅下跌。根据BeIn Crypto Research的数据，在2022年2月，NBA Top Shot销售额约为4750万美元，相比1月份减少1140万美元。NBA Top Shot2021年2月的销售额为2.24亿美元，相比2021年1月增长452%。
从提供的统计数据可以推断，NBA Top Shot2022年2月份销售额同比下降78%。三个因素导致NBATopShot销售收入的下降：供应增加，“moments”市场价格下降，以及独立买家的大幅下降。（BeInCrypto）[2022/3/7 13:43:03]
在代码912行发现approve地址：
0x7F748D5fb52b9717f83Ed69f49fc4c2f15d83b6A
在代码3407行同样发现关于approve相关操作的地址：
CryptoPunk总交易额达6.49亿美元 超越NBA Top Shot:8月7日消息，就在CryptoPunk#2338以440万美元的价格（1500 ETH）成交之后，DappRadar最新数据显示，CryptoPunk总交易额已经达到6.49亿美元，超越NBA Top Shot（总交易额为6.38亿美元）成为NFT交易额排行第二名，目前NFT总交易额排名第一的是NFT游戏Axie Infinity，交易为10.73亿美元。[2021/8/7 1:40:42]
0xc9E39Ad832cea1677426e5fA8966416337F88749
我们开始分析这两个地址的交易记录：
0x7F748D5fb52b9717f83Ed69f49fc4c2f15d83b6A
0xc9E39Ad832cea1677426e5fA8966416337F88749
首先在Etherscan查询发现0x7F7...b6A?是一个恶意合约地址：
而这个恶意合约的创建者是地址：
0xd975f8c82932f55c7cef51eb4247f2bea9604aa3，发现这个地址有多笔NFT交易记录：
慢雾：攻击者系通过“supply()”函数重入Lendf.Me合约 实现重入攻击:慢雾安全团队发文跟进“DeFi平台Lendf.Me被黑”一事的具体原因及防御建议。文章分析称，通过将交易放在bloxy.info上查看完整交易流程，可发现攻击者对Lendf.Me进行了两次“supply()”函数的调用，但是这两次调用都是独立的，并不是在前一笔“supply()”函数中再次调用“supply()”函数。紧接着，在第二次“supply()”函数的调用过程中，攻击者在他自己的合约中对Lendf.Me的“withdraw()”函数发起调用，最终提现。慢雾安全团队表示，不难分析出，攻击者的“withdraw()”调用是发生在transferFrom函数中，也就是在Lendf.Me通过transferFrom调用用户的“tokensToSend()”钩子函数的时候调用的。很明显，攻击者通过“supply()”函数重入了Lendf.Me合约，造成了重入攻击。[2020/4/19]
我们在NFTGO网站进一步查看，根据该地址目前NFT持有情况，发现被盗NFT目前都停留在此地址上还没有售出，总价值约为225,475美元。
而使用NFTSCAN发现NFT数量一共是21个，价值96.5枚ETH。
分析 | 慢雾：攻击者拿下了DragonEx尽可能多的权限 攻击持续至少1天:据慢雾安全团队的链上情报分析，从DragonEx公布的“攻击者地址”的分析来看，20 个币种都被盗取（但还有一些DragonEx可交易的知名币种并没被公布），从链上行为来看攻击这些币种的攻击手法并不完全相同，攻击持续的时间至少有1天，但能造成这种大面积盗取结果的，至少可以推论出：攻击者拿下了DragonEx尽可能多的权限，更多细节请留意后续披露。[2019/3/26]
继续使用MistTrack分析攻击者地址交易历史：
可以发现该地址的ETH交易次数并不多只有12次，余额只有0.0615枚ETH。
0xc9E39Ad832cea1677426e5fA8966416337F88749也是合约地址，合约创建者是0x6035B92fd5102b6113fE90247763e0ac22bfEF63，这个地址在@0xLosingMoney公布的黑客地址名单中也有提到。
使用MistTrack发现这个地址余额同样不多，入账有21笔而出账有97笔，其中已转出共106.2枚ETH。
查看入账和出账信息，可以发现多笔转到Tornado.Cash，说明黑客已经通过各种手法将盗来的币进行来转移。
其中2053端口是API地址，而2083端口则是后台登录地址。
通过查询发现usemoralis.com这个域名上有大量NFT相关网站，其中不少是属于钓鱼网站。
通过谷歌搜索发现不少NFT的站点，并发现多个子域信息。
于是我们遍历和查询usemoralis.com的子域名，发现共存在3千多个相关子域站点部署在cloudflare上。
进一步了解我们发现这些站点都是来自moralis提供的服务：
moralis是一个专门提供针对Web3开发和构建DApps的服务。
我们发现注册后就可以得到接口地址和一个管理后台，这使得制作钓鱼网站作恶成本变得非常低。
经过统计，域名为pidhnone.se的接口有：
https://pidhnone.se/api/store/log
https://pidhnone.se/api/self-spoof/
https://pidhnone.se/api/address/
https://pidhnone.se/api/crypto/
进一步分析发现https://pidhnone.se/login其实是黑客操作的控制后台，用来管理资产等信息。
根据后台地址的接口拼接上地址，可以看到攻击地址和受害者的地址。
后台还存留关于图片信息和相关接口操作说明文字，可以看出来是非常明显的网站操作说明。
我们分析后台里面涉及的信息，如图片：
https://pidhnone.se/images/recent.png?f53959585e0db1e6e1e3bc66798bf4f8
https://pidhnone.se/images/2.gif?427f1b04b02f4e7869b1f402fcee11f6
https://pidhnone.se/images/gif.gif?24229b243c99d37cf83c2b4cdb4f6042
https://pidhnone.se/images/landing.png?0732db576131facc35ac81fa15db7a30
https://pidhnone.se/images/ss-create.png?1ad1444586c2c3bb7d233fbe7fc81d7d
https://pidhnone.se/images/self-spoof.png?25e4255ee21ea903c40d1159ba519234
这里面涉及黑客历史使用过的的钓鱼网站信息，如nftshifter.io：
以nftshifter.io这个钓鱼网站为例：
在Twitter上查找相关记录可以看到2022年3月25日有受害者访问过该钓鱼网站并公布出来。
使用相同的方式分析?nftshifter.io：
得到JS?源代码并进行分析：
可以发现同样也是采用moralis的服务和https://pidhnone.se/这个后台进行控制。
其中相关的恶意地址：
钓鱼者合约：
0x8beebade5b1131cf6957f2e8f8294016c276a90f
合约创建者：
0x9d194CBca8d957c3FA4C7bb2B12Ff83Fca6398ee
创建合约时间：
Mar-24-202209:05:33PMUTC?
同时我们发现与这个攻击者相同的恶意合约代码有9个：
随机看一个恶意合约0xc9E...749，创建者地址为
0x6035B92fd5102b6113fE90247763e0ac22bfEF63：
相同的手法，都已经洗币。每个恶意合约上都已经有受害者的记录，此处不一一分析。
我们再来看下受害者时间：
刚好是在攻击者创建恶意钓鱼之后，有用户上当受。
攻击者已将NFT售出，变卖为ETH，我们使用MistTrack分析攻击者地址
0x9d194cbca8d957c3fa4c7bb2b12ff83fca6398ee：
可以看到51ETH已经转入Tornado.Cash洗币。同时，目前Twitter上攻击者的账户@nftshifter_io已经被冻结无法查看。
产业链。截止到发文前黑客地址仍有新的NFT入账和交易进行。黑客进行钓鱼攻击往往已成规模化批量化，制作一个钓鱼模版就可以批量复制出大量不同NFT项目的钓鱼网站。当作恶成本变得非常低的时候，更需要普通用户提高警惕，加强安全意识，时刻保持怀疑，避免成为下一个受害者。
如何避免陷入欺诈的境地？慢雾安全团队建议如下：
1.不要点击来源不明的链接或附件，不要随意泄露您的助记词
2.使用强密码并启用双重身份验证以保护您的帐户。
3.不确定的情况下，向多方进行验证确认。
4.不要在网上传输敏感信息，攻击者可以通过分析这些信息和数据向用户发送有针对性的网络钓鱼电子邮件。
5.建议阅读：《区块链黑暗森林自救手册》
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。