SlowMist

Вскоре после последнего объявления об «еще одной афере с воздушными сбросами, но с изюминкой» мы выявили очень похожую аферу, основываясь на сообщениях жертв.
По сообщениям многих жертв, переводы 0 долларов США с неизвестных адресов продолжали отображаться в истории адресных транзакций пользователей сети TRON, при этом в каждом случае вызывалась функция TransferFrom.
Нажав на случайную транзакцию, чтобы просмотреть ее детали, как показано на рисунке 1 для транзакции с tx 701e7 в красном поле.

Эта серия представляет собой практический пример службы расследований MistTrack.
Обзор
Хакеры атаковали проект и перевели все украденные средства в TornadoCash, что побудило участников проекта обратиться за помощью к MistTrack. Мы обнаружили установленный адрес вывода средств, проведя анализ транзакций TornadoCash и разделив средства других пользователей. После нескольких дней ожидания часть украденных средств наконец-то была переведена на биржу. Мы отправили сообщение на адрес вывода хакера с просьбой вернуть украденные средства или предстать перед судебным иском. Украденные средства были возвращены команде в течение девяти часов.

Недавно несколько пользователей сообщили, что их активы были украдены. Сначала они не знали, как были украдены их средства, но при ближайшем рассмотрении мы обнаружили, что это новый тип мошенничества с воздушными сбросами.
На многие адреса жертв постоянно пересылались небольшие суммы токенов (0,01 USDT, 0,001 USDT и т. д.), и они, скорее всего, были атакованы, поскольку их адреса были задействованы в крупных транзакциях и объёмах торговли. Последние несколько цифр адреса злоумышленника практически идентичны последним нескольким цифрам адреса пользователя. Это сделано для того, чтобы обманом заставить пользователя случайно скопировать неправильный адрес из истории транзакций и отправить средства на неверный адрес.

Фон
Представители Celer Network заявили 18 августа, что между 3:45 и 6:00 по пекинскому времени некоторые пользователи cBridge были перенаправлены на вредоносные смарт-контракты. Изначально предполагалось, что внешний интерфейс cBridge был взломан в результате DNS-атаки.
В отличие от предыдущих инцидентов взлома межцепных мостов, таких как Nomad, Wormhole, Ronin, Harmony и т. д., эта атака не была вызвана ошибками в смарт-контрактах и ​​межцепочных протоколах или вторжением связанных серверов, а также межсетевыми атаками. Активы сети, заблокированные в cBridge, также находятся в безопасности. В этой атаке хакеры напрямую нацелились на базовую инфраструктуру в архитектуре Интернета за пределами системы Celer и позволили пользователям перекрестной цепочки получить доступ к «фишинговому» интерфейсу пользователя в течение определенного периода времени, обманув базовый протокол маршрутизации Интернета ( BGP). Сеть Celer смогла ограничить ущерб благодаря быстрому реагированию. Это связано с тем, что команда Celer Network имеет круглосуточную систему мониторинга. Их команда обслуживания клиентов смогла выявить проблему и своевременно оповестить сообщество. Команда Celer Network уполномочила группу безопасности SlowMist отреагировать на эту чрезвычайную ситуацию и провести углубленное расследование.