慢霧：Solana 公鏈大規模盜幣事件的分析_SLOPE

2022年8月3日，Solana公鏈上發生大規模盜幣的事件，大量用戶在不知情的情況下被轉移SOL和SPL代幣，慢霧安全團隊對此事件進行跟蹤和分析，從鏈上行為到鏈下的應用逐一排查，目前已有新的進展。

Slope錢包團隊邀請慢霧安全團隊一同分析和跟進，經過持續的跟進和分析，Solanafoundation提供的數據顯示近60%被盜用戶使用Phantom錢包，30%左右地址使用Slope錢包，其余用戶使用TrustWallet等，并且iOS和Android版本的應用都有相應的受害者，于是我們開始聚焦分析錢包應用可能的風險點。

分析過程

在分析SlopeWallet的時候，發現SlopeWallet使用了Sentry的服務，Sentry是一個被廣泛應用的服務，Sentry運行在o7e.slope.finance域名下，在創建錢包的時候會將助記詞和私鑰等敏感數據發送到https://o7e.slope.finance/api/4/envelope/。

數據：Linea主網交互地址數突破16萬個:金色財經報道，Dune數據顯示，Linea主網已橋接轉入24,783枚ETH，交易筆數達228,901筆，交互地址數達165,920個。[2023/8/13 16:22:38]

繼續分析SlopeWallet，我們發現Version:>=2.2.0的包中Sentry服務會將助記詞發送到"o7e.slope.finance"，而Version:2.1.3并沒有發現采集助記詞的行為。

SlopeWallet歷史版本下載：

“Fake_Phishing76351”的黑地址先將被盜資金轉入地址0x2f64:金色財經消息，據CertiK監測，被標記為“Fake_Phishing76351”的黑地址先將被盜資金轉入地址0x2f64，后者又將資金分別轉至地址0x11bA和0xa6F4，隨后全部轉入Torndao Cash。截至目前，總共有20枚ETH（約3.52萬美金）被轉入Torndao Cash。[2023/3/21 13:16:35]

https://apkpure.com/cn/slope-wallet/com.wd.wallet/versions

SlopeWallet是在2022.06.24及之后發布的，所以受到影響的是2022.06.24以及之后使用SlopeWallet的用戶，但是根據部分受害者的反饋并不知道SlopeWallet，也沒有使用SlopeWallet。

CME負責人似乎說他賄賂了CTFC官員:金色財經報道，在周三出席福克斯新聞討論FTX倒閉事件時，CME集團老板Terry Duffy似乎說他賄賂了商品期貨交易委員會(CTFC)官員。可能在流傳的片段中說錯了話，但截至周日下午，也就是電視播出四天后，他還沒有澄清。芝商所目前也沒有對此事做出回應。[2022/11/28 21:05:54]

那么按照Solanafoundation統計的數據看，30%左右受害者地址的助記詞可能被SlopeWalletSentry的服務采集發送到了SlopeWallet的https://o7e.slope.finance/api/4/envelope/服務器上。

B站CEO陳睿：元宇宙世界會是數字內容生態，用戶創造內容將成主流:金色財經消息，8月27日，第三屆“上海創新創業青年50人論壇”在上海召開，嗶哩嗶哩董事長兼CEO陳睿在該論壇上表示，元宇宙作為綜合性產業，用戶將是其中最重要的數字內容生產者和消費者，用戶創作內容將是元宇宙的主流。陳睿認為，元宇宙將是每個用戶都能參與生態共建的世界。元宇宙中的數字世界將是一個內容生態，其中的海量內容無法由幾家公司提供，UGC內容（用戶創造內容）將成為元宇宙的主流。用戶在元宇宙當中，既是數字內容的消費者，也是數字內容的生產者。（新京報）[2022/8/28 12:53:07]

但是另外60%被盜用戶使用的是Phantom錢包，這些受害者是怎樣被盜呢？

在對Phantom錢包進行分析，發現Phantom也有使用Sentry服務來收集用戶的信息，但并沒有發現明顯的收集助記詞或私鑰的行為。

一些疑問點

慢霧安全團隊還在不斷收集更多信息來分析另外60%被盜用戶被黑的原因，如果你有任何的思路歡迎一起討論，希望能一起為Solana生態略盡綿薄之力。如下是分析過程中的一些疑問點：

1.Sentry的服務收集用戶錢包助記詞的行為是否屬于普遍的安全問題？

2.Phantom使用了Sentry，那么Phantom錢包會受到影響嗎？

3.另外60%被盜用戶被黑的原因是什么呢？

4.Sentry作為一個使用非常廣泛的服務，會不會是Sentry官方遭遇了入侵？從而導致了定向入侵虛擬貨幣生態的攻擊？

參考信息

已知攻擊者地址：

Htp9MGP8Tig923ZFY7Qf2zzbMUmYneFRAhSp7vSg4wxV

CEzN7mqP9xoxn2HdyW6fjEJ73t7qaX9Rp2zyS6hb3iEu

5WwBYgQG6BdErM2nNNyUmQXfcUnB68b6kesxBywh1J3n

GeEccGJ9BEzVbVor1njkBCCiqXJbXVeDHaXDCrBDbmuy

受害者地址：

https://dune.com/awesome/solana-hack

Solanafoundation統計的數據：

https://www.odaily.news/newsflash/294440

https://solanafoundation.typeform.com/to/Rxm8STIT?typeform-source=t.co

https://docs.google.com/spreadsheets/d/1hej7MnhI2T9IeyXpnESmMcIHwgxGucSGUxQ5FqHB9-8/edit#gid=1372125637

來源：金色財經

Tags：SLOPELLEALLWALLSLOPE幣CriptoVilleMALL幣Walletreum

歐易okex官網