BTC/HKD-0.86%
HK$ 735183
$ 93693.3

ETH/HKD-0.33%
HK$ 26384
$ 3362.38

LTC/HKD-2.03%
HK$ 774.94
$ 98.76

DOT/HKD-1.24%
HK$ 54.16
$ 6.902

ADA/HKD-1.79%
HK$ 6.81
$ 0.868

SOL/HKD-1.09%
HK$ 1514.3
$ 192.986

XRP/HKD-1.08%
HK$ 16.81
$ 2.142

DOGE/US-1.2%
HK$ 2.48
$ 0.316

加密貨幣交易所最好的加密貨幣交易所

幣安

世界排名第一的加密貨幣交易所

URL：https://www.binance.com

火幣

成立於2013年的加密貨幣交易所

URL：https://www.huobi.com

歐易OKX

成立於2014年的加密貨幣交易所

URL：https://www.okx.com

鏈上地址投讓你防不勝防_USD:BSC

Author：

Time：1900/1/1 0:00:00

Abstract:

近一周，0U 轉賬的鏈上地址投攻擊愈演愈烈，截至12月2日，已經有超過37W地址被投，總計92個受害地址，被盜取金額超過164W USD。

本篇文章，X-explore 對攻擊態勢進行了全面分析，對攻擊者進行了鏈上溯源，同時也深入分析了攻擊的實現方式。

我們呼吁錢包APP加強風險提示，普通用戶在轉賬時謹防此類攻擊。因為我們注意到UTC時間11月2日10點38分，有一位鏈上用戶損失慘重，近100萬美金因投而被轉到黑客地址。

本文由 X-explore 與吳說區塊鏈聯合發布。

近期，我們的鏈上風險監控發現ETH、BSC鏈上頻繁出現 0u 轉賬現象，以下圖bsc鏈的交易數據為例，受害者A發出一筆正常交易將452 BSC-USD發給B后，會收到C轉來的0 BSC-USD，同時，在同一筆交易hash內用戶A自己也會不受控制的給C轉0 BSC-USD（實現了“一來一回”的0 BSC-USD轉賬操作）

在社區中，很多用戶不知所以然，擔心自己的錢包私鑰已經泄漏，攻擊者正在竊取資產。

其實遇到這種情況的用戶不用緊張，大家的資產是安全的，私鑰并沒有泄漏，只需要仔細確認地址小心別轉錯賬就沒事，黑客的手法很簡單：

以太坊鏈上交易量下降40.76%:金色財經消息，據歐科云鏈OKLink數據顯示，以太坊24h鏈上活躍地址數逾60.72萬，環比下降5.29%；鏈上交易量近442.32萬ETH，環比下降40.76%；以太坊建議Gas費用為116.43Gwei，環比下降27.87%。[2021/1/6 16:32:56]

在鏈上監控幾個穩定幣的轉賬信息，捕獲受害者地址A正常發送給用戶B的轉賬信息。

精心構造與用戶地址B首尾一致的黑客地址C，使受害者A與黑客地址C互相轉帳0U。（這里攻擊者可以使用靚號生成工具 Profanity，在幾秒內生成與用戶地址前后7位相同的地址）

受害者A下次轉賬時粗心大意直接復制歷史交易的地址時，很容易錯誤復制到黑客準備的地址C，從而將資金轉錯賬

我們認為這種攻擊是鏈上地址投攻擊：

首先，黑客讓自己的地址出現在用戶交易歷史中，誘導用戶誤認為是可信的交互地址。

此外，黑客構造出的地址與用戶可信地址首尾相同，被用戶當作下次交易的對象。鏈上投很容易使用戶產生資損，鏈上用戶需共同警惕！

截止12月2日，在BSC與ETH鏈上的攻擊次數分別超過32萬次和5萬次，受攻擊影響的獨立地址數分別超過16萬個以及4萬個。

獨家｜當前以太坊24h鏈上交易量環比上升84.6%，當前建議Gas費用為51Gwei:金色財經消息，據歐科云鏈OKLink鏈上數據顯示，以太坊24h鏈上活躍地址數逾51.45萬，環比上升1.77%；鏈上交易量近345.68萬ETH，環比上升84.6%；鏈上交易筆數逾116.66萬筆，環比上升8.58%。

截至下午2時，以太坊全網算力約為252.47TH/s，環比上升0.81TH/s，當前建議Gas費用為51.07Gwei，環比上升16.52%，未確認交易數約9.8萬筆。[2020/11/3 11:32:02]

從趨勢上看，BSC鏈自從11月22日開始爆發，ETH鏈則從11月27日開始爆發，兩條鏈的攻擊規模均愈演愈烈。

此外，可以看到攻擊發生時間有顯著規律性，在每天UTC時間17點到0點攻擊量級顯著減少。疑似攻擊者處于亞洲時區。

截止12月2日，總共有 92 個獨立地址受騙，累計被騙金額達到 164萬USD。伴隨著攻擊者攻擊目標的增加，可以預見，近期還會不斷有大量用戶被騙。

此外，我們對攻擊者的攻擊成本進行了分析，目前總成本接近2.9W USD（50 BNB + 11 ETH），攻擊者對BSC-USD和USDT非常偏愛，與穩定幣的幣種流通量和用戶持有量有關

鏈上云平臺已上線SUSHI/USDT交易對:據鏈上ChainUP官方消息，鏈上云平臺已于今日16時50分，上線SUSHI/USDT交易對，旗下300多家交易所客戶可在后臺配置，一鍵開通SUSHI/USDT幣幣交易服務。

鏈上云持續關注熱門項目，第一時間上線優質資產，為客戶提供全方位的優質服務。[2020/9/1]

我們對其中一個攻擊者進行了鏈上溯源追蹤，與兩個主流中心化交易所關聯，其完整過程如下圖所示：

其攻擊資金的來源地址與OKX.com存在關聯，攻擊者通過使用Transit.Finance跨鏈橋將原始攻擊資金從TRON鏈轉移到BSC鏈上。

其盜取資金最終歸集到Huobi.com，攻擊者依然使用Transit.Finance跨鏈橋將盜取資金轉移到TRON鏈上。

讓我們進一步展開，針對盜取資金的流向進行溯源。

首先，受害者地址0xe17c2b2b40574d229a251fe3776e6da2cc46aa5e向攻擊者地址0x720c1cfe1bfc38b3b21c20961262ad1e095a6867分兩次，共轉賬1300U。

接著，攻擊者地址將資金歸集到地址0x89e692c1b31e7f03b7b9cbb1c7ab7872ddeadd49

攻擊者在0x89e692c1b31e7f03b7b9cbb1c7ab7872ddeadd49地址上進行了資金的跨鏈轉移，在txhash為0x72905bd839f682f795946d285500143ee7606e9690df2ad32968e878ad290d9f的交易中，如下圖所示，將10561 USDT通過Transit.Finance的合約（0xb45a2dda996c32e93b8c47098e90ed0e7ab18e39）進行了Cross操作。在這筆交易的Event Logs中，可以看到資金去向了TRON鏈的USDT，對應地址是TLUKBw37BVWDZdhbGco2ZEfdMd5Cit8TMD，對應TRON鏈上的交易hash是：716507136ad28717ffd5f2f437af753ff96d344d2bcbe83f24d801db49f5a884

港股開盤：歐科云鏈上漲1.69%，火幣科技下跌1.26%:金色財經報道，港股開盤，香港恒生指數開盤上漲127.45點，漲幅0.48%，報26419.13點；歐科集團旗下歐科云鏈（01499.HK）報0.240點，開盤上漲1.69%；火幣科技（01611.HK）報3.92點，下跌1.26%。[2020/3/3]

最終，攻擊者將 TLUKBw37BVWDZdhbGco2ZEfdMd5Cit8TMD 地址上的充值進了Huobi交易所。充值的入金地址分別是：TPtzsrCAG61QMwig3jZV8Px7Rd1WZVnRXG, TDp7r3S1hJeiNfH1CvCVXeY8notY47nagJ

攻擊者案例1：

EOA: 0xBAA1451bE8C33998CD43F375c2e67E79c1a104AD

CA: 0x7ceBeb6035B231A73CB5Fb4119c2FbBC04Ec6fD1

聲音 | 煤炭運銷協會副理事長：區塊鏈可以解決煤炭貿易鏈上的信息不透明問題:今日2020年度全國煤炭交易會在山東日照召開，中國煤炭運銷協會副理事長、煤炭交易市場專業委員會主任馮雨發表講話表示，區塊鏈技術可以很好的應用到煤炭貿易領域。在煤炭貿易和融資中，傳統的金融機構不容易相信煤炭貿易，是因為煤炭貿易的全鏈條信息不公開，金融機構難以追溯到全部信息。而將來全貿易鏈條信息上鏈就會給整個市場帶來新的思路，獲得金融機構的信任。當前煤炭貿易領域最大的問題就是全程非標，沒有標準化。每一批煤炭的質量，貿易結款周期等都不一樣，因此行業需要有一個標準化的協議，未來希望區塊鏈技術能夠實現這一點。他還表示，目前希望制作一個標準，初期先實驗最簡單最標準的貿易鏈條。（新浪財經）[2019/12/5]

攻擊者案例2：

EOA: 0x616384a80f32aDb65243522971aE2ba7664B62E3

CA: 0x6f00Ed594A6AceEf0E1A6FE023Ecd5Eb96c8665a

針對bsc鏈上的token攻擊主要包含BSC-USD、BUSD、USDC、ETH等，大部分是通過攻擊合約批量調用transferFrom()函數，也有手動調用transfer()函數的情況和針對主幣的情況，原理基本一致。以下用 BSC-USD 的一個攻擊合約舉例

transferFrom()

在攻擊者調用攻擊合約的一筆交易中，攻擊合約只調用了 BSC-USD 的 transferFrom() 函數，通過對參數填充sender、recipient、amount可以實現操控任意地址間的0 USD轉帳，同時產生授權Approval()與轉賬Transfer()的事件

Blocksec phalcon交易信息

BSC-USD 的合約源碼顯示transferFrom()函數順序調用了轉賬_transfer()與授權_approve()函數

_transfer()函數的作用很簡單，首先排除交易中的全零地址，然后給發送方減錢，接受者加錢，最后記錄轉賬事件。這里用到的加減函數add()/sub()是OpenZeppelin的safemath庫，溢出會報錯回退

_approve()函數同樣排除全零地址，修改授權值，這個函數的重點在transferFrom中調用approve的參數計算里，用到了_allowances[sender][_msgSender()].sub(amount, "BEP20: transfer amount exceeds allowance") ，將已有的授權token數量減去轉賬數量，剩余的授權數量放入approve重新授權。這里用到的減函數sub是OpenZeppelin的safemath庫，溢出會報錯回退；但是如果整個流程的amount參數為零，沒有任何檢測機制能拒絕這筆交易，也就導致了鏈上大量的 0U 轉賬能正常發送，而黑客只需要付出手續費即可收獲不菲的回報。