背景
9月2日，慢雾安全团队发现疑似APT团伙针对加密生态的NFT用户进行大规模钓鱼活动，并发布了《“零元购”NFT钓鱼分析》。9月4日，推特用户PhantomX发推称朝鲜APT组织针对数十个ETH和SOL项目进行大规模的网络钓鱼活动。
该推特用户给出了196个钓鱼域名信息，分析后关联到朝鲜黑客相关信息，具体的域名列表如下：
慢雾安全团队注意到该事件并第一时间跟进深入分析：
由于朝鲜黑客针对加密货币行业的攻击模型多样化，我们披露的也只是冰山一角，因为一些保密的要求，本篇文章也仅针对其中一部分钓鱼素材包括相关钓鱼钱包地址进行分析。这里将重点针对NFT钓鱼进行分析。钓鱼网站分析
经过深入分析，发现此次钓鱼的其中一种方式是发布虚假NFT相关的、带有恶意Mint的诱饵网站，这些NFT在OpenSea、X2Y2和Rarible等平台上都有出售。此次APT组织针对Crypto和NFT用户的钓鱼涉及将近500多个域名。查询这些域名的注册相关信息，发现注册日期最早可追溯到7个月前：
慢雾：针对传言火币信息泄漏事件不涉及用户账户与资金安全 请保持客观冷静对待:据官方消息，慢雾注意到近日有白帽子公开了此前一个火币已经处理完毕的过往漏洞信息。经慢雾与火币官方确认，火币本着负责任披露信息的策略，对本次事件做以下说明：本次事件是小范围内（4000人）的用户联络信息泄露，信息种类不涉及敏感信息，不涉及用户账户与资金安全。事件发生于2021年6月22日日本站测试环境S3桶相关人员不规范操作导致，相关用户信息于2022年10月8日已经完全隔离，日本站与火币全球站无关。本次事件由白帽团队发现后，火币安全团队2023年6月21日（10天前）已第一时间进行处理，立即关闭相关文件访问权限，当前漏洞已修复，所有相关用户信息已经删除。感谢白帽团队对于火币安全做出的贡献。最后提醒请大家冷静对待，切勿传谣。[2023/7/1 22:12:01]
同时我们也发现朝鲜黑客常使用的一些独有的钓鱼特征：特征一：钓鱼网站都会记录访客数据并保存到外部站点。黑客通过HTTPGET请求将站点访问者信息记录到外部域，发送请求的域名虽不同但是请求的API接口都为“/postAddr.php”。一般格式为“https://nserva.live/postAddr.php?mmAddr=......&accessTime=xxx&url=evil.site”，其中参数mmAddr记录访客的钱包地址，accessTime记录访客的访问时间，url记录访客当前所访问的钓鱼网站链接。
慢雾：昨日MEV机器人攻击者恶意构造无效区块，建议中继运营者及时升级:金色财经报道，慢雾分析显示，昨日MEV机器人被攻击的问题原因在于即使信标区块不正确，中继仍将有效载荷（payload）返回给提议者，导致了提议者在另一个区块被最终确定之前就能访问区块内容。攻击者利用此问题，恶意构造了无效的区块，使得该区块无法被验证，中继无法进行广播（状态码为202）从而提前获得交易内容。mev-boost-relay昨日已紧急发布新版本缓解此问题，建议中继运营者及时升级中继。
据此前报道，昨日夹击MEV机器人的恶意验证者已被Slash惩罚并踢出验证者队列。[2023/4/4 13:43:37]
特征二：钓鱼网站会请求一个NFT项目价目表，通常HTTP的请求路径为“getPriceData.php”：
特征三：存在一个链接图像到目标项目的文件“imgSrc.js”，包含目标站点列表和在其相应网络钓鱼站点上使用的图像文件的托管位置，这个文件可能是钓鱼网站模板的一部分。
进一步分析发现APT用于监控用户请求的主要域名为“thedoodles.site”，此域名在APT活动早期主要用来记录用户数据：
慢雾：Transit Swap黑客攻击交易被抢跑，套利机器人获利超100万美元:10月1日消息，据慢雾安全团队情报，Transit Swap 黑客转移用户 BSC 链 BUSD 资产时被套利机器人抢跑，区块高度为21816885，获利107万BUSD。套利机器人相关地址列表如下：0xa957...70d2、0x90b5...8ff4、0xcfb0...7ac7、
截止到目前，在各方的共同努力下，黑客已将 70% 左右的被盗资产退还到Transit Swap开发者地址，建议套利机器人所属人同样通过service/img/20230508174247930398/9.jpg "/>
最后来看下黑客到底运行和部署了多少个钓鱼站点：比如最新的站点伪装成世界杯主题：
继续根据相关的HTTPS证书搜索得到相关的网站主机信息：
声音 | 慢雾：99%以上的勒索病使用BTC进行交易:据慢雾消息，勒索病已经成为全球最大的安全威胁之一，99%以上的勒索病使用BTC进行交易，到目前为止BTC的价格已经涨到了一万多美元，最近一两年针对企业的勒索病攻击也越来越多，根据Malwarebytes统计的数据，全球TO B的勒索病攻击，从2018年6月以来已经增加了363%，同时BTC的价格也直线上涨，黑客现在看准了数字货币市场，主要通过以下几个方式对数字货币进行攻击：
1.通过勒索病进行攻击，直接勒索BTC。
2.通过恶意程序，盗取受害者数字货币钱包。
3.通过数字货币网站漏洞进行攻击，盗取数字货币。[2019/8/25]
在一些主机地址中发现了黑客使用的各种攻击脚本和统计受害者信息的txt文件。
这些文件记录了受害者访问记录、授权情况、使用插件钱包的情况：
可以发现这些信息跟钓鱼站点采集的访客数据相吻合。其中还包括受害者approve记录：
声音 | 慢雾：Ghostscript存在多个漏洞:据慢雾区消息，Google Project Zero发布Ghostscript多个漏洞预警，远端攻击者可利用漏洞在目标系统执行任意代码及绕过安全限制。Ghostscript 9.26及更早版本都受影响。软件供应商已提供补丁程序。[2019/1/24]
以及签名数据sigData等，由于比较敏感此处不进行展示。另外，统计发现主机相同IP下NFT钓鱼站群，单独一个IP下就有372个NFT钓鱼站点：
另一个IP下也有320个NFT钓鱼站群：
甚至包括朝鲜黑客在经营的一个DeFi平台：
由于篇幅有限，此处不再赘述。钓鱼手法分析
结合之前《NFT零元购钓鱼》文章，我们对此次钓鱼事件的核心代码进行了分析。我们发现黑客钓鱼涉及到WETH、USDC、DAI、UNI等多个地址协议。
下面代码用于诱导受害者进行授权NFT、ERC20等较常见的钓鱼Approve操作：
除此之外，黑客还会诱导受害者进行Seaport、Permit等签名。
下面是这种签名的正常样例，只是在钓鱼网站中不是“opensea.io”这个域名。
我们在黑客留下的主机也发现了这些留存的签名数据和“Seaport”的签名数据特征一致。
由于这类型的签名请求数据可以“离线存储”，黑客在拿到大量的受害者签名数据后批量化的上链转移资产。MistTrack分析
对钓鱼网站及手法分析后，我们选取其中一个钓鱼地址进行分析。可以看到这个地址已被MistTrack标记为高风险钓鱼地址，交易数也还挺多。钓鱼者共收到1055个NFT，售出后获利近300ETH。
往上溯源，该地址的初始资金来源于地址转入的4.97ETH。往下溯源，则发现该地址有与其他被MistTrack标记为风险的地址有交互，以及有5.7ETH转入了FixedFloat。
再来分析下初始资金来源地址，目前收到约6.5ETH。初始资金来源于Binance转入的1.433ETH。
同时，该地址也是与多个风险地址进行交互。
总结
由于保密性和隐私性，本文仅针对其中一部分NFT钓鱼素材进行分析，并提炼出朝鲜黑客的部分钓鱼特征，当然，这只是冰山一角。慢雾在此建议，用户需加强对安全知识的了解，进一步强化甄别网络钓鱼攻击的能力等，避免遭遇此类攻击。更多的安全知识建议阅读慢雾出品的《区块链黑暗森林自救手册》。Ps.感谢hip、ScamSniffer提供的支持。相关链接：https://www.prevailion.com/what-wicked-webs-we-unweavehttps://twitter.com/PhantomXSec/status/1566219671057371136https://twitter.com/evilcos/status/1603969894965317632原地址
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。