بقلم: ليز وزيرو وكي وولف

خلفية

في 3 مايو، وفقًا للمراقبة التي قامت بها منصة Web3 لمكافحة الاحتيال Scam Sniffer، تعرض حوت عملاق لهجوم تصيد بنفس العنوان الأول والأخير، وتم سرقة 1,155 WBTC، تبلغ قيمتها حوالي 70 مليون دولار أمريكي. وعلى الرغم من أن طريقة الصيد هذه موجودة منذ فترة طويلة، إلا أن حجم الأضرار الناجمة عن هذا الحادث لا يزال صادما. ستحلل هذه المقالة النقاط الرئيسية لهجمات التصيد الاحتيالي على العناوين التي لها نفس الأرقام الأولى والأخيرة، ومكان وجود الأموال، وخصائص المتسللين، والاقتراحات لمنع هجمات التصيد الاحتيالي هذه.

()

نقاط الهجوم الرئيسية

عنوان الضحية:

0x1E227979f0b5BC691a70DEAed2e0F39a6F538FD5

عنوان النقل المستهدف للضحية:

0xd9A1b0B1e1aE382DbDc898Ea68012FfcB2853a91

عنوان الصيد:

0xd9A1C3788D81257612E2581A6ea0aDa244853a91

1. تصادم عناوين التصيد الاحتيالي: سيقوم المتسللون بإنشاء عدد كبير من عناوين التصيد الاحتيالي على دفعات مقدمًا، وبعد نشر البرنامج المجمع بطريقة موزعة، سيقومون بشن هجوم تصيد بنفس العنوان الأول والأخير. عنوان النقل المستهدف بناءً على ديناميكيات المستخدم في السلسلة. في هذه الحادثة، استخدم المتسلل عنوانًا كانت أرقامه الأربعة الأولى وآخر ستة أرقام بعد إزالة 0x متوافقة مع عنوان النقل المستهدف للضحية.

**2. المعاملة اللاحقة: **بعد أن يقوم المستخدم بتحويل الأموال، يستخدم المتسلل على الفور عنوان التصيد الاحتيالي المتصادم (بعد حوالي 3 دقائق) لتتبع المعاملة (يقوم عنوان التصيد الاحتيالي بنقل 0 ETH إلى عنوان المستخدم)، بحيث يظهر عنوان التصيد الاحتيالي في سجل معاملات المستخدم.

()

**3. أولئك الذين يرغبون في أخذ الطعم: **نظرًا لعادة المستخدم في نسخ معلومات التحويل الأخيرة من سجل المحفظة، بعد رؤية معاملة التصيد الاحتيالي هذه، لم يتحقق بعناية مما إذا كان العنوان الذي نسخه صحيحًا، و ونتيجة لذلك، تم نقل 1155 WBTC عن طريق الخطأ إلى حصلت على عنوان الصيد!

تحليل ميست تراك

وجد التحليل باستخدام أداة التتبع على السلسلة MistTrack أن المتسلل قام بتبادل 1,155 WBTC مقابل 22,955 ETH ونقلها إلى العناوين العشرة التالية.

في 7 مايو، بدأ المتسللون في تحويل ETH على هذه العناوين العشرة، وأظهر وضع تحويل الأموال بشكل أساسي خصائص ترك ما لا يزيد عن 100 أموال ETH في العنوان الحالي، ثم تقسيم الأموال المتبقية بالتساوي تقريبًا قبل تحويلها إلى المستوى التالي. عنوان. . وفي الوقت الحالي، لم يتم استبدال هذه الأموال بعملات أخرى أو تحويلها إلى المنصة. الصورة أدناه توضح حالة تحويل الأموال على 0x32ea020a7bb80c5892df94c6e491e8914cce2641 افتح الرابط في المتصفح لعرض الصورة عالية الوضوح:

()

استخدمنا بعد ذلك MistTrack للاستعلام عن عنوان التصيد الأولي 0xd9A1C3788D81257612E2581A6ea0aDa244853a91 في هذه الحادثة، ووجدنا أن مصدر رسوم المعالجة لهذا العنوان كان 0xdcddc9287e59b5df08d17148a078bd181313eacc.

()

بعد عنوان الرسوم، يمكننا أن نرى أنه في الفترة ما بين 19 أبريل و3 مايو، بدأ هذا العنوان أكثر من 20000 معاملة بمبالغ صغيرة، وتوزيع كميات صغيرة من ETH على عناوين مختلفة لصيد الأسماك.

()

وفقا للصورة أعلاه، يمكننا أن نرى أن الهاكر اعتمد أسلوب الشبكة الواسعة، لذلك يجب أن يكون هناك أكثر من ضحية. ومن خلال الفحص واسع النطاق، اكتشفنا أيضًا حوادث تصيد احتيالي أخرى ذات صلة، وفيما يلي بعض الأمثلة:

لنأخذ عنوان التصيد الاحتيالي 0xbba8a3cc45c6b28d823ca6e6422fbae656d103a6 من الحادثة الثانية في الصورة أعلاه كمثال، ونواصل تتبع عناوين الرسوم لأعلى ونجد أن هذه العناوين تتداخل مع عناوين تتبع الرسوم الخاصة بحادث التصيد الاحتيالي 1155 WBTC، لذا يجب أن تكون هي نفسها. hacker.

**من خلال تحليل تحويل المتسللين للأموال المربحة الأخرى (من نهاية مارس إلى الوقت الحاضر)، خلصنا أيضًا إلى أن إحدى سمات غسيل الأموال الأخرى التي يتميز بها المتسللون هي تحويل الأموال الموجودة في سلسلة ETH إلى Monero أو عبر السلسلة إلى Tron ثم تحويلها إلى عناوين OTC المشتبه بها، لذلك هناك احتمال أن يستخدم المتسلل لاحقًا نفس الطريقة لتحويل الأموال التي استفادت من حادث التصيد الاحتيالي 1155 WBTC. **

خصائص الهاكر

وفقًا لشبكة استخبارات التهديدات التابعة لـ SlowMist، اكتشفنا عنوان IP لمحطة الهاتف المحمول الأساسية في هونغ كونغ والذي يستخدمه المتسللون المشتبه بهم (لا يتم استبعاد إمكانية استخدام VPN):

• 182.xxx.xxx.228
• 182.xxx.xx.18
• 182.xxx.xx.51
• 182.xxx.xxx.64
• 182.xxx.xx.154
• 182.xxx.xxx.199
• 182.xxx.xx.42
• 182.xxx.xx.68
• 182.xxx.xxx.66
• 182.xxx.xxx.207

ومن الجدير بالذكر أنه حتى بعد أن سرق المتسلل 1,155 WBTC، بدا أنه لم يكن لديه أي نية لغسل يديه.

متابعة العناوين الأصلية الثلاثة لعناوين التصيد الاحتيالي التي تم جمعها مسبقًا (المستخدمة لتوفير رسوم المعالجة للعديد من عناوين التصيد الاحتيالي)، فإن السمة المشتركة بينها هي أن مبلغ المعاملة الأخيرة أكبر بكثير من المعاملة السابقة، وذلك لأن المتسلل قام بإلغاء تنشيط التيار العنوان وتحويل الأموال أثناء عملية النقل إلى العنوان الأصلي لعنوان التصيد الاحتيالي الجديد، لا تزال العناوين الثلاثة التي تم تنشيطها حديثًا تقوم بتحويل الأموال بتردد عالٍ.

()

في عمليات المسح اللاحقة واسعة النطاق، اكتشفنا عنوانين آخرين لعنوان التصيد الاحتيالي معطلين، وبعد التتبع، وجدنا أنهما مرتبطان بالمتسلل، لذلك لن نخوض في التفاصيل هنا.

• 0xa5cef461646012abd0981a19d62661838e62cf27
• 0x2bb7848Cf4193a264EA134c66bEC99A157985Fb8

في هذه المرحلة، طرحنا سؤالًا حول مصدر الأموال الموجودة في سلسلة ETH، وبعد التتبع والتحليل من قبل فريق الأمان SlowMist، وجدنا أن المتسلل نفذ في البداية هجوم تصيد احتيالي على Tron بنفس العنوان الأول والأخير. ثم استهدفت ترون بعد تحقيق الأرباح، حيث قام المستخدمون الذين دخلوا سلسلة ETH بتحويل أموال الربح الموجودة على ترون إلى سلسلة ETH وبدأوا في التصيد الاحتيالي. الصورة التالية هي مثال على التصيد الاحتيالي من قبل المتسللين على ترون:

()

بتاريخ 4 مايو، نقلت الضحية الرسالة التالية إلى الهاكر الموجود على السلسلة: إذا فزت يا أخي، يمكنك الاحتفاظ بـ 10% وإرجاع 90%، ويمكننا التظاهر بأن شيئًا لم يحدث. نعلم جميعًا أن 7 ملايين دولار كافية لتعيش بشكل جيد، لكن 70 مليون دولار ستجعلك تنام بشكل سيئ.

في 5 مايو، واصل الضحية الاتصال بالمتسللين على السلسلة، لكنه لم يتلق ردًا بعد.

()

كيفية الدفاع

• آلية القائمة البيضاء: يوصى بأن يقوم المستخدمون بحفظ العنوان الهدف في دفتر عناوين المحفظة. يمكن العثور على العنوان الهدف في دفتر عناوين المحفظة في المرة القادمة التي يتم فيها النقل.
• تمكين وظيفة تصفية المبالغ الصغيرة في المحفظة: يوصى بأن يقوم المستخدمون بتمكين وظيفة تصفية المبالغ الصغيرة في المحفظة لمنع عمليات النقل الصفرية هذه وتقليل خطر التعرض للتصيد الاحتيالي. قام فريق أمان SlowMist بتحليل هذا النوع من أساليب التصيد الاحتيالي في عام 2022. يمكن للقراء المهتمين النقر على الرابط لمشاهدته (SlowMist: كن حذرًا من عملية احتيال النقل من TransferFrom Zero، SlowMist: كن حذرًا من نفس عملية احتيال إسقاط الرقم النهائي).

• تحقق بعناية مما إذا كان العنوان صحيحًا: يوصى بأنه عند تأكيد العنوان، يجب على المستخدم على الأقل التحقق مما إذا كانت الأرقام الستة الأولى وآخر 8 أرقام باستثناء البداية 0x صحيحة من الأفضل التحقق من كل رقم.
• اختبار تحويل المبالغ الصغيرة: إذا كانت المحفظة التي يستخدمها المستخدم تعرض فقط أول 4 أرقام وآخر 4 أرقام من العنوان بشكل افتراضي، وما زال المستخدم يصر على استخدام هذه المحفظة، فيمكنك التفكير في اختبار المبالغ الصغيرة تحويل المبلغ أولاً، إذا تم القبض عليك لسوء الحظ، فهذه أيضًا إصابة طفيفة.

لخص

تقدم هذه المقالة بشكل أساسي طريقة هجوم التصيد باستخدام نفس عنوان الرقم الأول والأخير، وتحلل خصائص المتسللين وأنماط تحويل الأموال، كما تطرح اقتراحات لمنع هجمات التصيد الاحتيالي هذه. يود فريق أمان SlowMist أن يذكرك بأنه نظرًا لأنه لا يمكن التلاعب بتكنولوجيا blockchain وأن العمليات على السلسلة لا رجعة فيها، يجب على المستخدمين التحقق بعناية من العنوان قبل إجراء أي عملية لتجنب تلف الأصول.