SlowMist

Nicht lange nach der letzten Ankündigung des „Ein weiterer Airdrop-Betrug, aber mit einer Wendung“ haben wir anhand von Berichten von Opfern einen sehr ähnlichen Betrug identifiziert.
Den Berichten vieler Opfer zufolge wurden weiterhin Überweisungen von 0 USDT von unbekannten Adressen in der Adresstransaktionshistorie der TRON-Netzwerkbenutzer angezeigt, wobei in jedem Fall die TransferFrom-Funktion aufgerufen wurde.
Klicken Sie auf eine zufällige Transaktion, um deren Details anzuzeigen, wie in Bild 1 für die Transaktion mit tx 701e7 im roten Feld dargestellt.

Diese Serie ist eine Fallstudie des Untersuchungsdienstes MistTrack.
Überblick
Hacker griffen ein Projekt an und überwiesen alle gestohlenen Gelder an TornadoCash, was die Projektpartei dazu veranlasste, sich an MistTrack zu wenden. Wir haben die festgelegte Auszahlungsadresse entdeckt, indem wir eine Analyse der TornadoCash-Transaktionen durchgeführt und die Gelder anderer Benutzer entmischt haben. Nach einigen Tagen des Wartens wurde schließlich ein Teil der gestohlenen Gelder an eine Börse überwiesen. Wir haben eine On-Chain-Nachricht an die Abhebungsadresse des Hackers gesendet und die Rückgabe gestohlener Gelder gefordert oder rechtliche Schritte eingeleitet. Die gestohlenen Gelder wurden dem Team innerhalb von neun Stunden zurückgegeben.

Kürzlich meldeten mehrere Nutzer, dass ihr Vermögen gestohlen worden sei. Zuerst waren sie sich nicht sicher, wie ihre Gelder gestohlen worden waren, aber bei näherer Betrachtung stellten wir fest, dass es sich um eine neue Art von Airdrop-Betrug handelte.
Die Adressen vieler Opfer wurden ständig mit winzigen Token-Beträgen (0,01 USDT, 0,001 USDT usw.) abgeworfen, und sie wurden höchstwahrscheinlich ins Visier genommen, weil ihre Adressen an Transaktionen und Handelsvolumina mit hohem Wert beteiligt waren. Die letzten Ziffern der Adresse des Angreifers sind nahezu identisch mit den letzten Ziffern der Adresse des Benutzers. Dies geschieht, um den Benutzer dazu zu verleiten, versehentlich die falsche Adresse aus dem Transaktionsverlauf zu kopieren und das Geld an die falsche Adresse zu senden.

Hintergrund
Beamte des Celer Network erklärten am 18. August, dass zwischen 3:45 und 6:00 Uhr Pekinger Zeit bestimmte cBridge-Benutzer auf bösartige Smart Contracts verwiesen wurden. Zunächst wurde vermutet, dass die cBridge-Frontend-Schnittstelle durch einen DNS-Angriff kompromittiert wurde.
Dieser Angriff unterscheidet sich völlig von früheren Cross-Chain-Bridge-Hacking-Vorfällen wie Nomad, Wormhole, Ronin, Harmony usw. und wurde nicht durch Fehler in Smart Contracts und Cross-Chain-Protokollen oder das Eindringen zugehöriger Server verursacht. Die in cBridge eingeschlossenen Kettenwerte wurden ebenfalls sicher aufbewahrt. Bei diesem Angriff zielten die Hacker direkt auf die zugrunde liegende Infrastruktur in der Internetarchitektur außerhalb des Celer-Systems und ermöglichten Cross-Chain-Benutzern innerhalb eines bestimmten Zeitraums den Zugriff auf eine „Phishing“-Front-End-Benutzeroberfläche, indem sie das zugrunde liegende Routing-Protokoll des Internets täuschten ( BGP).Das Celer-Netzwerk konnte den Schaden aufgrund seiner schnellen Reaktion begrenzen. Dies liegt daran, dass das Celer-Netzwerk-Team über ein 24-Stunden-Überwachungssystem verfügt. Ihr Kundendienstteam konnte das Problem identifizieren und die Community rechtzeitig benachrichtigen. Das Team von Celer Network hat das Sicherheitsteam von SlowMist damit beauftragt, auf diesen Notfall zu reagieren und eine eingehende Untersuchung durchzuführen.