SlowMist

Peu de temps après la dernière annonce de « Une autre arnaque au largage aérien, mais avec un twist », nous avons identifié une arnaque très similaire sur la base des rapports des victimes.
Selon les rapports de nombreuses victimes, les transferts de 0 USDT à partir d'adresses non reconnues ont continué à apparaître dans l'historique des transactions d'adresses des utilisateurs du réseau TRON, la fonction TransferFrom étant appelée dans chaque cas.
En cliquant sur une transaction aléatoire pour afficher ses détails, comme illustré sur la photo 1 pour la transaction avec tx 701e7 dans l'encadré rouge.

Cette série est une étude de cas du service d'enquête MistTrack.
Aperçu
Les pirates ont attaqué un projet et transféré tous les fonds volés vers TornadoCash, incitant les parties au projet à demander l'aide de MistTrack. Nous avons découvert l'adresse de retrait définie en effectuant une analyse des transactions TornadoCash et en dissociant les fonds des autres utilisateurs. Après quelques jours d’attente, une partie des fonds volés a finalement été transférée vers une plateforme d’échange. Nous avons envoyé un message en chaîne à l’adresse de retrait du pirate informatique, demandant le retour des fonds volés ou risquant des poursuites judiciaires. Les fonds volés ont été restitués à l'équipe dans les neuf heures.

Récemment, plusieurs utilisateurs ont signalé que leurs actifs avaient été volés. Au début, ils ne savaient pas exactement comment leurs fonds avaient été volés, mais en y regardant de plus près, nous avons découvert qu'il s'agissait d'un nouveau type d'arnaque au parachutage.
De nombreuses adresses de victimes étaient constamment larguées par avion avec de petites quantités de jetons (0,01 USDT, 0,001 USDT, etc.), et elles étaient très probablement ciblées parce que leurs adresses étaient impliquées dans des transactions et un volume d'échanges de grande valeur. Les derniers chiffres de l’adresse de l’attaquant sont presque identiques aux derniers chiffres de l’adresse de l’utilisateur. Ceci est fait pour tromper l'utilisateur en copiant accidentellement la mauvaise adresse de l'historique des transactions et en envoyant les fonds à la mauvaise adresse.

Arrière-plan
Les responsables du réseau Celer ont déclaré le 18 août qu'entre 15 h 45 et 18 h, heure de Pékin, certains utilisateurs de cBridge avaient été dirigés vers des contrats intelligents malveillants. Initialement, l'interface frontale de cBridge était soupçonnée d'être compromise par une attaque DNS.
Complètement différente des précédents incidents de piratage de ponts inter-chaînes tels que Nomad, Wormhole, Ronin, Harmony, etc., cette attaque n'a pas été causée par des bugs dans les contrats intelligents et les protocoles inter-chaînes ou par l'intrusion de serveurs associés, et le cross- les actifs de la chaîne verrouillés dans cBridge ont également été conservés en sécurité. Dans cette attaque, les pirates ont directement ciblé l'infrastructure sous-jacente de l'architecture Internet en dehors du système Celer et ont permis aux utilisateurs inter-chaînes d'accéder à une interface utilisateur frontale de « phishing » dans un certain laps de temps en trompant le protocole de routage sous-jacent d'Internet ( BGP).Le réseau Celer a pu limiter les dommages grâce à sa réponse rapide. En effet, l'équipe du réseau Celer dispose d'un système de surveillance 24 heures sur 24. Leur équipe de service client a pu identifier le problème et alerter la communauté en temps opportun. L'équipe Celer Network a habilité l'équipe de sécurité de SlowMist à répondre à cette urgence et à mener une enquête approfondie.