SharkTeam：典型钓鱼攻击链上资产转移分析
字数 1551 2025-08-10 12:18:06

区块链钓鱼攻击分析与防范指南

一、钓鱼攻击概述

2023年9月7日发生的典型钓鱼攻击案例中，攻击者通过获取钱包授权或私钥，从地址(0x13e382)窃取了价值超过2,400万美元的加密资产。攻击者随后通过复杂的资金兑换和转移手段试图洗白赃款。

二、攻击流程详解

1. 授权窃取阶段

  • 受害者地址(0x13e382)通过"Increase Allowance"操作向诈骗者地址1(0x4c10a4)授权了rETH和stETH代币
  • 攻击者利用授权转移资产：
    • 9,579 stETH (约1,532万美元) → 诈骗者地址2(0x693b72)
    • 4,850 rETH (约841万美元) → 诈骗者地址2(0x693b72)

2. 资金兑换阶段

攻击者在多个去中心化交易所进行资产兑换：

  1. stETH兑换ETH：

    • 通过UniswapV2、UniswapV3、Curve平台
    • 全部9,579 stETH兑换为ETH

  2. rETH兑换ETH：

    • 通过相同平台
    • 全部4,850 rETH兑换为ETH
    • 合计兑换14,783.9413 ETH

  3. 部分ETH兑换DAI：

    • 1,000 ETH → 1,635,047.761675421713685327 DAI (通过UniswapV3)

3. 资金转移阶段

攻击者采用分散式转移策略：

  • 主要分配：
    • 1,785 ETH → 中间地址(0x4F2F02)
    • 2,000 ETH → 中间地址(0x2ABdC2)
    • 10,000 ETH → 中间地址(0x702350)
    • 1,635,139 DAI → 中间地址(0x4F2F02)

三、资金转移路径分析

1. 中间地址(0x4F2F02)活动

  • DAI转移：

    • 10笔交易转移529,000 DAI
      • 452,000 DAI → 0x4E5B2e (FixedFloat)
      • 77,000 DAI → 0xf1dA17 (eXch)
      • 部分通过0x6cC5F6 (OKX)
    • 28,052 DAI → 17.3 ETH (通过UniswapV2)
    • 剩余1,078,087 DAI未转移

  • ETH转移：

    • 18笔交易(9月8-11日)
    • 1,800 ETH → Tornado.Cash

2. 中间地址(0x2ABdC2)活动

  • 2,000 ETH → 中间地址(0x71C848)
  • 随后分20笔(每笔100 ETH) → Tornado.Cash

3. 中间地址(0x702350)活动

  • 截至分析时，10,000 ETH仍滞留该地址

四、攻击者资金来源追溯

  • 初始资金1.353 ETH来自EOA地址(0x846317)
  • 该EOA资金来源涉及KuCoin和Binance热钱包

五、防范措施

1. 授权管理

  • 谨慎使用"Increase Allowance"功能
  • 定期检查并撤销不必要的授权(可通过Etherscan等工具)
  • 使用授权管理工具设置限额和有效期

2. 交易安全

  • 验证所有交易请求的合法性
  • 警惕伪装成合法服务的钓鱼网站
  • 使用硬件钱包存储大额资产

3. 监控工具

  • 利用ChainAegis等链上分析平台监控可疑地址
  • 设置大额交易警报
  • 关注被标记的黑名单地址

4. 应急响应

  • 发现异常立即转移剩余资产
  • 通过区块链浏览器冻结资产(如支持)
  • 向相关交易所和社区报告攻击事件

六、行业建议

  1. 交易所方面：

    • 加强对异常资金流动的监控
    • 建立更严格的身份验证机制
    • 与链上分析公司合作共享威胁情报

  2. 项目方方面：

    • 改进授权机制安全性
    • 提供更清晰的风险提示
    • 开发更安全的授权管理界面

  3. 用户教育：

    • 普及区块链安全知识
    • 制作钓鱼攻击识别指南
    • 推广安全操作最佳实践

通过全面了解钓鱼攻击手法和资金转移路径，用户和项目方可以更好地防范此类威胁，保护数字资产安全。

区块链钓鱼攻击分析与防范指南 一、钓鱼攻击概述 2023年9月7日发生的典型钓鱼攻击案例中，攻击者通过获取钱包授权或私钥，从地址(0x13e382)窃取了价值超过2,400万美元的加密资产。攻击者随后通过复杂的资金兑换和转移手段试图洗白赃款。 二、攻击流程详解 1. 授权窃取阶段 受害者地址(0x13e382)通过"Increase Allowance"操作向诈骗者地址1(0x4c10a4)授权了rETH和stETH代币 攻击者利用授权转移资产： 9,579 stETH (约1,532万美元) → 诈骗者地址2(0x693b72) 4,850 rETH (约841万美元) → 诈骗者地址2(0x693b72) 2. 资金兑换阶段 攻击者在多个去中心化交易所进行资产兑换： stETH兑换ETH ： 通过UniswapV2、UniswapV3、Curve平台 全部9,579 stETH兑换为ETH rETH兑换ETH ： 通过相同平台 全部4,850 rETH兑换为ETH 合计兑换14,783.9413 ETH 部分ETH兑换DAI ： 1,000 ETH → 1,635,047.761675421713685327 DAI (通过UniswapV3) 3. 资金转移阶段 攻击者采用分散式转移策略： 主要分配 ： 1,785 ETH → 中间地址(0x4F2F02) 2,000 ETH → 中间地址(0x2ABdC2) 10,000 ETH → 中间地址(0x702350) 1,635,139 DAI → 中间地址(0x4F2F02) 三、资金转移路径分析 1. 中间地址(0x4F2F02)活动 DAI转移 ： 10笔交易转移529,000 DAI 452,000 DAI → 0x4E5B2e (FixedFloat) 77,000 DAI → 0xf1dA17 (eXch) 部分通过0x6cC5F6 (OKX) 28,052 DAI → 17.3 ETH (通过UniswapV2) 剩余1,078,087 DAI未转移 ETH转移 ： 18笔交易(9月8-11日) 1,800 ETH → Tornado.Cash 2. 中间地址(0x2ABdC2)活动 2,000 ETH → 中间地址(0x71C848) 随后分20笔(每笔100 ETH) → Tornado.Cash 3. 中间地址(0x702350)活动 截至分析时，10,000 ETH仍滞留该地址 四、攻击者资金来源追溯 初始资金1.353 ETH来自EOA地址(0x846317) 该EOA资金来源涉及KuCoin和Binance热钱包 五、防范措施 1. 授权管理 谨慎使用"Increase Allowance"功能 定期检查并撤销不必要的授权(可通过Etherscan等工具) 使用授权管理工具设置限额和有效期 2. 交易安全 验证所有交易请求的合法性 警惕伪装成合法服务的钓鱼网站 使用硬件钱包存储大额资产 3. 监控工具 利用ChainAegis等链上分析平台监控可疑地址 设置大额交易警报 关注被标记的黑名单地址 4. 应急响应 发现异常立即转移剩余资产 通过区块链浏览器冻结资产(如支持) 向相关交易所和社区报告攻击事件 六、行业建议 交易所方面 ： 加强对异常资金流动的监控 建立更严格的身份验证机制 与链上分析公司合作共享威胁情报 项目方方面 ： 改进授权机制安全性 提供更清晰的风险提示 开发更安全的授权管理界面 用户教育 ： 普及区块链安全知识 制作钓鱼攻击识别指南 推广安全操作最佳实践 通过全面了解钓鱼攻击手法和资金转移路径，用户和项目方可以更好地防范此类威胁，保护数字资产安全。