事件背景
5 月25 日，推特用戶 @0xLosingMoney 稱監測到ID 為 @Dvincent_ 的用戶通過釣魚網站p2peers.io 盜走了29 枚Moonbirds 系列NFT，價值超70 萬美元，釣魚網站目前已無法訪問。該用戶表示，域名sarek.fi 和p2peers.io 都曾在過去的黑客事件中被使用。
推特原文
蒐集相關信息
慢霧安全團隊收到相關情報並針對此次被盜事件進行朔源分析。
我們開始在Twitter 上蒐集並分析此釣魚事件的相關信息時，發現 @Dvincent_ 就是黑客的Twitter 賬號，目前該賬戶已經被註銷。而根據5 月10 日的記錄，推特用戶 @just1n_eth（BAYC 系列NFT 持有者）就表示 @Dvincent_ 曾與其聯繫交易BAYC NFT，但由於對方堅持使用p2peers.io，交易最後並未達成。
推特原文
在該推特評論下用戶@jbe61 表示自己曾遇到同一個人並給出了對話截圖：
5 月25 日晚，@0xLosingMoney 繼續在Twitter 公佈了黑客的錢包等相關信息。
推特原文
下面是 @0xLosingMoney 給出的黑客地址：
· 0xe8250Bb4eFa6D9d032f7d46393CEaE18168A6B0D
· 0x8e73fe4d5839c60847066b67ea657a67f42a0adf
· 0x6035B92fd5102b6113fE90247763e0ac22bfEF63
· 0xBf41EFdD1b815556c2416DcF427f2e896142aa53
· 0x29C80c2690F91A47803445c5922e76597D1DD2B6
相關地址分析
由於整個被盜事件都提到「p2peers.io」這個釣魚網站，所以我們從此處開始入手。這個在芬蘭某域名公司註冊的p2peers 網站已被暫停使用，我們最終在谷歌網頁快照中尋找到了該網站首頁的信息。
根據網頁快照可以發現 https://p2peers.io/ 的前端代碼，其中主要的JS 代碼是「js/app.eb17746b.js」。
由於已經無法直接查看JS 代碼，利用 Cachedview 網站的快照歷史記錄查到在2022 年4 月30 日主要的JS 源代碼。
通過對JS 的整理，我們查到了代碼中涉及到的釣魚網站信息和交易地址。
在代碼912 行發現approve 地址：
0x7F748D5fb52b9717f83Ed69f49fc4c2f15d83b6A
在代碼3407 行同樣發現關於approve 相關操作的地址：
0xc9E39Ad832cea1677426e5fA8966416337F88749
我們開始分析這兩個地址的交易記錄：
0x7F748D5fb52b9717f83Ed69f49fc4c2f15d83b6A
0xc9E39Ad832cea1677426e5fA8966416337F88749
首先在Etherscan 查詢發現0x7F7…b6A 是一個惡意合約地址：
而這個惡意合約的創建者（攻擊者）是地址：
0xd975f8c82932f55c7cef51eb4247f2bea9604aa3，發現這個地址有多筆NFT 交易記錄：
我們在NFTGO 網站進一步查看，根據該地址目前NFT 持有情況，發現被盜NFT 目前都停留在此地址上還沒有售出，總價值約為225,475 美元。
而使用NFTSCAN 發現NFT 數量一共是21 個，價值96.5 枚ETH。
繼續使用MistTrack 分析攻擊者地址交易歷史：
可以發現該地址的ETH 交易次數並不多只有12 次，餘額只有0.0615 枚ETH。
0xc9E39Ad832cea1677426e5fA8966416337F88749 也是合約地址，合約創建者是0x6035B92fd5102b6113fE90247763e0ac22bfEF63，這個地址在@0xLosingMoney 公佈的黑客地址名單中也有提到。
使用 MistTrack 發現這個地址餘額同樣不多，入賬有21 筆而出賬有 97 筆，其中已轉出共 106.2 枚 ETH。
查看入賬和出賬信息，可以發現多筆轉到Tornado.Cash，說明黑客已經通過各種手法將盜來的幣進行來轉移。
黑客使用moralis 服務作惡
我們在JS 代碼409 行發現使用到了域名為usemoralis.com 的服務接口：
其中2053 端口是API 地址，而2083 端口則是後台登錄地址。
通過查詢發現usemoralis.com 這個域名上有大量NFT 相關網站，其中不少是屬於釣魚網站。
通過谷歌搜索發現不少NFT 的站點，並發現多個子域信息。
於是我們遍歷和查詢usemoralis.com 的子域名，發現共存在3 千多個相關子域站點部署在cloudflare 上。
進一步了解我們發現這些站點都是來自moralis 提供的服務：
moralis 是一個專門提供針對Web3 開發和構建DApps 的服務。
我們發現註冊後就可以得到接口地址和一個管理後台，這使得製作釣魚網站作惡成本變得非常低。
發現詐騙後台並關聯到釣魚事件
繼續分析JS 代碼，在368 行發現有將受害者地址提交到網站域名為pidhnone.se 的接口。
經過統計，域名為pidhnone.se 的接口有：
· https://pidhnone.se/api/store/log
· https://pidhnone.se/api/self-spoof/
· https://pidhnone.se/api/address/
· https://pidhnone.se/api/crypto/
進一步分析發現https://pidhnone.se/login 其實是黑客操作的詐騙控制後台，用來管理詐騙資產等信息。
根據後台地址的接口拼接上地址，可以看到攻擊地址和受害者的地址。
後台還存留關於圖片信息和相關接口操作說明文字，可以看出來是非常明顯的詐騙網站操作說明。
我們分析後台裡面涉及的信息，如圖片：
https://pidhnone.se/images/recent.png?f53959585e0db1e6e1e3bc66798bf4f8
https://pidhnone.se/images/2.gif?427f1b04b02f4e7869b1f402fcee11f6
https://pidhnone.se/images/gif.gif?24229b243c99d37cf83c2b4cdb4f6042
https://pidhnone.se/images/landing.png?0732db576131facc35ac81fa15db7a30
https://pidhnone.se/images/ss-create.png?1ad1444586c2c3bb7d233fbe7fc81d7d
https://pidhnone.se/images/self-spoof.png?25e4255ee21ea903c40d1159ba519234
這裡面涉及黑客歷史使用過的的釣魚網站信息，如nftshifter.io：
以nftshifter.io 這個釣魚網站為例：
在Twitter 上查找相關記錄可以看到2022 年3 月25 日有受害者訪問過該釣魚網站並公佈出來。
使用相同的方式分析 nftshifter.io：
得到 JS 源代碼並進行分析：
可以發現同樣也是採用moralis 的服務和https://pidhnone.se/ 這個詐騙後台進行控制。
其中相關的惡意地址：
釣魚者合約：
0x8beebade5b1131cf6957f2e8f8294016c276a90f
合約創建者：
0x9d194CBca8d957c3FA4C7bb2B12Ff83Fca6398ee
創建合約時間：
Mar-24-2022 09:05:33 PM +UTC
同時我們發現與這個攻擊者相同的惡意合約代碼有9 個：
隨機看一個惡意合約0xc9E…749，創建者地址為
0x6035B92fd5102b6113fE90247763e0ac22bfEF63：
相同的手法，都已經洗幣。每個惡意合約上都已經有受害者的記錄，此處不一一分析。
我們再來看下受害者時間：
剛好是在攻擊者創建惡意釣魚之後，有用戶上當受騙。
攻擊者已將NFT 售出，變賣為ETH，我們使用MistTrack 分析攻擊者地址
0x9d194cbca8d957c3fa4c7bb2b12ff83fca6398ee：
可以看到51 ETH 已經轉入Tornado.Cash 洗幣。同時，目前 Twitter 上攻擊者的賬戶 @nftshifter_io 已經被凍結無法查看。
總結
可以確認的是，攻擊一直在發生，而且有成熟的產業鏈。截止到發文前黑客地址仍有新的NFT 入賬和交易進行。黑客進行釣魚攻擊往往已成規模化批量化，製作一個釣魚模版就可以批量複製出大量不同NFT 項目的釣魚網站。當作惡成本變得非常低的時候，更需要普通用戶提高警惕，加強安全意識，時刻保持懷疑，避免成為下一個受害者。
來源：慢霧科技
作者：山哥&耀，慢霧安全團隊
