COM:慢霧：Web3 假錢包第三方源調查分析

By: 山 & 耀

背景

基于區塊鏈技術的 Web3 正在驅動下一代技術革命，越來越多的人開始參與到這場加密浪潮中，但 Web3 與 Web2 是兩個截然不同的世界。Web3 世界是一個充滿著各種各樣的機遇以及危險的黑暗森林，身處 Web3 世界中，錢包則是進入 Web3 世界的入口以及通行證。

當你通過錢包在 Web3 世界中探索體驗諸多的區塊鏈相關應用和網站的過程中，你會發現在一條公鏈上每個應用都是使用錢包 “登錄”；這與我們傳統意義上的 “登錄” 不同，在 Web2 世界中，每個應用之間的賬戶不全是互通的。但在 Web3 的世界中，所有應用都是統一使用錢包去進行 “登錄”，我們可以看到 “登錄” 錢包時顯示的不是 “Login with Wallet”，取而代之的是 “Connect Wallet”。而錢包是你在 Web3 世界中的唯一通行證。

俗話說高樓之下必有陰影，在如此火熱的 Web3 世界里，錢包作為入口級應用，自然也被黑灰產業鏈盯上。

慢霧：警惕Web3錢包WalletConnect釣魚風險:金色財經報道，慢霧安全團隊發現 Web3 錢包上關于 WalletConnect 使用不當可能存在被釣魚的安全風險問題。這個問題存在于使用移動端錢包 App 內置的 DApp Browser + WalletConnect 的場景下。

慢霧發現，部分 Web3 錢包在提供 WalletConnect 支持的時候，沒有對 WalletConnect 的交易彈窗要在哪個區域彈出進行限制，因此會在錢包的任意界面彈出簽名請求。[2023/4/17 14:08:53]

在 Android 環境下，由于很多手機不支持 Google Play 或者因為網絡問題，很多人會從其他途徑下載 Google Play 的應用，比如：apkcombo、apkpure 等第三方下載站，這些站點往往標榜自己 App 是從 Google Play 鏡像下載的，但是其真實安全性如何呢？

慢霧：LendHub疑似被攻擊損失近600萬美金，1100枚ETH已轉移到Tornado Cash:金色財經報道，據慢霧區情報，HECO生態跨鏈借貸平臺LendHub疑似被攻擊，主要黑客獲利地址為0x9d01..ab03。黑客于1月12日從Tornado.Cash接收100ETH后，將部分資金跨鏈到Heco鏈展開攻擊后獲利，后使用多個平臺（如TransitSwap、Multichain、Uniswap、Curve和OptimismBridge）跨鏈或兌換被盜資金。截至目前，黑客已分11筆共轉1,100ETH到Tornado.Cash。被攻擊的具體原因尚待分析，慢霧安全團隊將持續跟進此事件。[2023/1/13 11:10:43]

網站分析

鑒于下載途徑眾多，我們今天以 apkcombo 為例看看，apkcombo 是一個第三方應用市場，它提供的應用據官方說大部分來源于其他正規應用商店，但事實是否真如官方所說呢？

我們先看下 apkcombo 的流量有多大：

慢霧：跨鏈互操作協議Nomad橋攻擊事件簡析:金色財經消息，據慢霧區消息，跨鏈互操作協議Nomad橋遭受黑客攻擊，導致資金被非預期的取出。慢霧安全團隊分析如下：

1. 在Nomad的Replica合約中，用戶可以通過send函數發起跨鏈交易，并在目標鏈上通過process函數進行執行。在進行process操作時會通過acceptableRoot檢查用戶提交的消息必須屬于是可接受的根，其會在prove中被設置。因此用戶必須提交有效的消息才可進行操作。

2. 項目方在進行Replica合約部署初始化時，先將可信根設置為0，隨后又通過update函數對可信根設置為正常非0數據。Replica合約中會通過confirmAt映射保存可信根開始生效的時間以便在acceptableRoot中檢查消息根是否有效。但在update新根時卻并未將舊的根的confirmAt設置為0，這將導致雖然合約中可信根改變了但舊的根仍然在生效狀態。

3. 因此攻擊者可以直接構造任意消息，由于未經過prove因此此消息映射返回的根是0，而項目方由于在初始化時將0設置為可信根且其并未隨著可信根的修改而失效，導致了攻擊者任意構造的消息可以正常執行，從而竊取Nomad橋的資產。

綜上，本次攻擊是由于Nomad橋Replica合約在初始化時可信根被設置為0x0，且在進行可信根修改時并未將舊根失效，導致了攻擊可以構造任意消息對橋進行資金竊取。[2022/8/2 2:52:59]

慢霧：攻擊Ronin Network的黑客地址向火幣轉入3750枚 ETH:3月30日消息，慢霧發推稱，攻擊Axie Infinity側鏈Ronin Network的黑客地址向交易所火幣轉入3750枚ETH。此前金色財經報道，Ronin橋被攻擊，17.36萬枚ETH和2550萬USDC被盜。[2022/3/30 14:26:38]

據數據統計站點 similarweb 統計，apkcombo 站點：

全球排名：1,809

國家排名：7,370

品類排名：168

我們可以看到它的影響力和流量都非常大。

它默認提供了一款 chrome APK 下載插件，我們發現這款插件的用戶數達到了 10 W+：

那么回到我們關注的 Web3 領域中錢包方向，用戶如果從這里下載的錢包應用安全性如何？

慢霧：2021年上半年共發生78起區塊鏈安全事件，總損失金額超17億美元:據慢霧區塊鏈被黑事件檔案庫統計，2021年上半年，整個區塊鏈生態共發生78起較為著名的安全事件，涉及DeFi安全50起、錢包安全2起，公鏈安全3起，交易所安全6起，其他安全相關17起，其中以太坊上27起，幣安智能鏈(BSC)上22起，Polygon上2起，火幣生態鏈(HECO)、波卡生態、EOS上各1起，總損失金額超17億美元(按事件發生時幣價計算)。

經慢霧AML對涉事資金追蹤分析發現，約60%的資金被攻擊者轉入混幣平臺，約30%的資金被轉入交易所。慢霧安全團隊在此建議，用戶應增強安全意識，提高警惕，選擇經過安全審計的可靠項目參與；項目方應不斷提升自身的安全系數，通過專業安全審計機構的審計后才上線，避免損失；各交易所應加大反洗錢監管力度，進一步打擊利用加密資產交易的洗錢等違規行為。[2021/7/1 0:20:42]

我們拿知名的 imToken 錢包為例，其 Google Play 的正規下載途徑為：

https://play.google.com/store/apps/details?id=im.token.app

由于很多手機不支持 Google Play 或者因為網絡問題，很多人會從這里下載 Google Play 的應用。

而 apkcombo 鏡像站的下載路徑為：

https://apkcombo.com/downloader/#package=im.token.app

上圖我們可以發現，apkcombo 提供的版本為 24.9.11，經由 imToken 確認后，這是一個并不存在的版本！證實這是目前市面上假 imToken 錢包最多的一個版本。

在編寫本文時 imToken 錢包的最新版本為 2.11.3，此款錢包的版本號很高，顯然是為了偽裝成一個最新版本而設置的。

如下圖，我們在 apkcombo 上發現，此假錢包版本顯示下載量較大，此處的下載量應該是爬取的 Google Play 的下載量信息，安全起見，我們覺得有必要披露這個惡意 App 的來源，防止更多的人下載到此款假錢包。

同時我們發現類似的下載站還有如：uptodown

下載地址：https://imtoken.br.uptodown.com/android

我們發現 uptodown 任意注冊即可發布 App，這導致釣魚的成本變得極低：

在之前我們已經分析過不少假錢包的案例，如：2021-11-24 我們披露：《慢霧：假錢包 App 已致上萬人被盜，損失高達十三億美元》，所以在此不再贅述。

我們僅對 apkcombo 提供版本為 24.9.11 這款假錢包進行分析，在開始界面創建錢包或導入錢包助記詞時，虛假錢包會將助記詞等信息發送到釣魚網站的服務端去，如下圖：

根據逆向 APK 代碼和實際分析流量包發現，助記詞發送方式：

看下圖，最早的 “api.funnel.rocks” 證書出現在 2022-06-03，也就是攻擊開始的大概時間：

俗話說一圖勝千言，最后我們畫一個流程圖：

目前這種騙局活動不僅活躍，甚至有擴大范圍的趨勢，每天都有新的受害者受騙。用戶作為安全體系最薄弱的環節，應時刻保持懷疑之心，增強安全意識與風險意識，當你使用錢包、交易所時請認準官方下載渠道并從多方進行驗證；如果你的錢包從上述鏡像站下載，請第一時間轉移資產并卸載該軟件，必要時可通過官方驗證通道核實。

同時，如需使用錢包，請務必認準以下主流錢包 App 官方網址：

請持續關注慢霧安全團隊，更多 Web3 安全風險分析與告警正在路上。

致謝：感謝在溯源過程中 imToken 官方提供的驗證支持。

由于保密性和隱私性，本文只是冰山一角。慢霧在此建議，用戶需加強對安全知識的了解，進一步強化甄別網絡釣魚攻擊的能力等，避免遭遇此類攻擊。

慢霧科技

個人專欄

閱讀更多

金色薦讀

金色財經 善歐巴

Chainlink預言機

白話區塊鏈

金色早8點

Odaily星球日報

歐科云鏈

深潮TechFlow

MarsBit

Arcane Labs

Tags：WEBWEB3APKCOMweb3.0幣圈web3.0幣種在中國合法嗎METAPK幣Compound Augur

fil幣價格今日行情