By: 山 & 耀
背景
基于区块链技术的 Web3 正在驱动下一代技术革命，越来越多的人开始参与到这场加密浪潮中，但 Web3 与 Web2 是两个截然不同的世界。Web3 世界是一个充满着各种各样的机遇以及危险的黑暗森林，身处 Web3 世界中，钱包则是进入 Web3 世界的入口以及通行证。
当你通过钱包在 Web3 世界中探索体验诸多的区块链相关应用和网站的过程中，你会发现在一条公链上每个应用都是使用钱包 “登录”；这与我们传统意义上的 “登录” 不同，在 Web2 世界中，每个应用之间的账户不全是互通的。但在 Web3 的世界中，所有应用都是统一使用钱包去进行 “登录”，我们可以看到 “登录” 钱包时显示的不是 “Login with Wallet”，取而代之的是 “Connect Wallet”。而钱包是你在 Web3 世界中的唯一通行证。
俗话说高楼之下必有阴影，在如此火热的 Web3 世界里，钱包作为入口级应用，自然也被黑灰产业链盯上。
慢雾：昨日MEV机器人攻击者恶意构造无效区块，建议中继运营者及时升级:金色财经报道，慢雾分析显示，昨日MEV机器人被攻击的问题原因在于即使信标区块不正确，中继仍将有效载荷（payload）返回给提议者，导致了提议者在另一个区块被最终确定之前就能访问区块内容。攻击者利用此问题，恶意构造了无效的区块，使得该区块无法被验证，中继无法进行广播（状态码为202）从而提前获得交易内容。mev-boost-relay昨日已紧急发布新版本缓解此问题，建议中继运营者及时升级中继。
据此前报道，昨日夹击MEV机器人的恶意验证者已被Slash惩罚并踢出验证者队列。[2023/4/4 13:43:37]
在 Android 环境下，由于很多手机不支持 Google Play 或者因为网络问题，很多人会从其他途径下载 Google Play 的应用，比如：apkcombo、apkpure 等第三方下载站，这些站点往往标榜自己 App 是从 Google Play 镜像下载的，但是其真实安全性如何呢？
慢雾：疑似Gemini相关地址在过去5小时内共转出逾20万枚ETH:金色财经消息，慢雾监测显示，疑似加密交易所Gemini相关地址（0xea3ec2a08fee18ff4798c2d4725ded433d94151d）已在过去5小时内归集并转出逾20万枚ETH（超3亿美元）。[2022/7/19 2:22:08]
网站分析
鉴于下载途径众多，我们今天以 apkcombo 为例看看，apkcombo 是一个第三方应用市场，它提供的应用据官方说大部分来源于其他正规应用商店，但事实是否真如官方所说呢？
我们先看下 apkcombo 的流量有多大：
据数据统计站点 similarweb 统计，apkcombo 站点：
全球排名：1,809
国家排名：7,370
慢雾：警惕 Terra 链上项目被恶意广告投放钓鱼风险:据慢雾区情报，近期 Terra 链上部分用户的资产被恶意转出。慢雾安全团队发现从 4 月 12 日开始至 4 月 21 日约有 52 个地址中的资金被恶意转出至 terra1fz57nt6t3nnxel6q77wsmxxdesn7rgy0h27x30 中，当前总损失约 431 万美金。
经过慢雾安全追踪分析确认，此次攻击为批量谷歌关键词广告投放钓鱼，用户在谷歌搜索如：astroport，nexus protocol，anchor protocol 等这些知名的 Terra 项目，谷歌结果页第一条看似正常的广告链接（显示的域名甚至是一样的）实为钓鱼网站。 一旦用户不注意访问此钓鱼网站，点击连接钱包时，钓鱼网站会提醒直接输入助记词，一旦用户输入并点击提交，资产将会被攻击者盗取。
慢雾安全团队建议 Terra 链上用户保持警惕不要随便点击谷歌搜索出来的链接或点击来历不明的链接，减少使用常用钱包进行非必要的操作，避免不必要的资损。[2022/4/21 14:37:55]
品类排名：168
慢雾：Furucombo被盗资金发生异动，多次使用1inch进行兑换:据慢雾MistTrack，2月28日攻击Furucombo的黑客地址（0xb624E2...76B212）于今日发生异动。黑客通过1inch将342 GRO、69 cWBTC、1700万cUSDC兑换成282 ETH，并将147ETH从Compound转入到自己的地址，截至目前该黑客地址余额约170万美元，另一个黑客地址余额为约1200万美元。[2021/3/3 18:12:14]
我们可以看到它的影响力和流量都非常大。
它默认提供了一款 chrome APK 下载插件，我们发现这款插件的用户数达到了 10 W+：
那么回到我们关注的 Web3 领域中钱包方向，用户如果从这里下载的钱包应用安全性如何？
我们拿知名的 imToken 钱包为例，其 Google Play 的正规下载途径为：
慢雾：yearn攻击者利用闪电贷通过若干步骤完成获利:2021年02月05日，据慢雾区情报，知名的链上机池yearnfinance的DAI策略池遭受攻击，慢雾安全团队第一时间跟进分析，并以简讯的形式给大家分享细节，供大家参考：
1.攻击者首先从dYdX和AAVE中使用闪电贷借出大量的ETH；
2.攻击者使用从第一步借出的ETH在Compound中借出DAI和USDC；
3.攻击者将第二部中的所有USDC和大部分的DAI存入到CurveDAI/USDC/USDT池中，这个时候由于攻击者存入流动性巨大，其实已经控制CruveDAI/USDC/USDT的大部分流动性；
4.攻击者从Curve池中取出一定量的USDT，使DAI/USDT/USDC的比例失衡，及DAI/（USDT&USDC)贬值；
5.攻击者第三步将剩余的DAI充值进yearnDAI策略池中，接着调用yearnDAI策略池的earn函数，将充值的DAI以失衡的比例转入CurveDAI/USDT/USDC池中，同时yearnDAI策略池将获得一定量的3CRV代币；
6.攻击者将第4步取走的USDT重新存入CurveDAI/USDT/USDC池中，使DAI/USDT/USDC的比例恢复；
7.攻击者触发yearnDAI策略池的withdraw函数，由于yearnDAI策略池存入时用的是失衡的比例，现在使用正常的比例体现，DAI在池中的占比提升，导致同等数量的3CRV代币能取回的DAI的数量会变少。这部分少取回的代币留在了CurveDAI/USDC/USDT池中；
8.由于第三步中攻击者已经持有了CurveDAI/USDC/USDT池中大部分的流动性，导致yearnDAI策略池未能取回的DAI将大部分分给了攻击者9.重复上述3-8步骤5次，并归还闪电贷，完成获利。参考攻击交易见原文链接。[2021/2/5 18:58:47]
https://play.google.com/store/apps/details?id=im.token.app
由于很多手机不支持 Google Play 或者因为网络问题，很多人会从这里下载 Google Play 的应用。
而 apkcombo 镜像站的下载路径为：
https://apkcombo.com/downloader/#package=im.token.app
上图我们可以发现，apkcombo 提供的版本为 24.9.11，经由 imToken 确认后，这是一个并不存在的版本！证实这是目前市面上假 imToken 钱包最多的一个版本。
在编写本文时 imToken 钱包的最新版本为 2.11.3，此款钱包的版本号很高，显然是为了伪装成一个最新版本而设置的。
如下图，我们在 apkcombo 上发现，此假钱包版本显示下载量较大，此处的下载量应该是爬取的 Google Play 的下载量信息，安全起见，我们觉得有必要披露这个恶意 App 的来源，防止更多的人下载到此款假钱包。
同时我们发现类似的下载站还有如：uptodown
下载地址：https://imtoken.br.uptodown.com/android
我们发现 uptodown 任意注册即可发布 App，这导致钓鱼的成本变得极低：
在之前我们已经分析过不少假钱包的案例，如：2021-11-24 我们披露：《慢雾：假钱包 App 已致上万人被盗，损失高达十三亿美元》，所以在此不再赘述。
我们仅对 apkcombo 提供版本为 24.9.11 这款假钱包进行分析，在开始界面创建钱包或导入钱包助记词时，虚假钱包会将助记词等信息发送到钓鱼网站的服务端去，如下图：
根据逆向 APK 代码和实际分析流量包发现，助记词发送方式：
看下图，最早的 “api.funnel.rocks” 证书出现在 2022-06-03，也就是攻击开始的大概时间：
俗话说一图胜千言，最后我们画一个流程图：
目前这种局活动不仅活跃，甚至有扩大范围的趋势，每天都有新的受害者受。用户作为安全体系最薄弱的环节，应时刻保持怀疑之心，增强安全意识与风险意识，当你使用钱包、交易所时请认准官方下载渠道并从多方进行验证；如果你的钱包从上述镜像站下载，请第一时间转移资产并卸载该软件，必要时可通过官方验证通道核实。
同时，如需使用钱包，请务必认准以下主流钱包 App 官方网址：
请持续关注慢雾安全团队，更多 Web3 安全风险分析与告警正在路上。
致谢：感谢在溯源过程中 imToken 官方提供的验证支持。
由于保密性和隐私性，本文只是冰山一角。慢雾在此建议，用户需加强对安全知识的了解，进一步强化甄别网络钓鱼攻击的能力等，避免遭遇此类攻击。
慢雾科技
个人专栏
阅读更多
金色荐读
金色财经 善欧巴
Chainlink预言机
白话区块链
金色早8点
Odaily星球日报
欧科云链
深潮TechFlow
MarsBit
Arcane Labs
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。