17

TokenPocket 钱包二维码盗 usdt 安全事件分析[含附件]

 3 years ago
source link: https://www.heibai.org/2026.html
Go to the source link to view the article. You can view the picture content, updated content and better typesetting reading experience. If the link is broken, please click the button below to view the snapshot at that time.
neoserver,ios ssh client

TokenPocket 钱包二维码盗 usdt 安全事件分析[含附件]

桑云信息Lzers 2021-08-14 USDT
一、事件概要

昨日，随着微博大v @夏雪宜BTC 的曝光，一种币圈新型骗局进入大家的视线，一时间币圈人人自危：

大概是：只要你通过二维码给骗子转过一次 usdt，之后你账户的 usdt 就会被骗子转光。看起来非常正常的二维码交易，为什么骗子在转账一次之后就能控制用户的钱包呢？
下面对犯罪手法做简要分析。
二、过程分析
扫描这个二维码：
会访问以下链接：
https://huobi4.gzimtoken.com/trc20.html?s=axu4&addr=TXpSZHhde2UsqQLZMsh14DeKaS1fdRrTuL
点开之后是这样的：
使用 TokenPocket 钱包扫码，尝试转账，注意一定是波场链，下图注意左上角：
会发现过程中会有如下请求。请注意方法：approve！
或者使用 tronlonk 查看：
这个合约的形式是 approve，上面这个图的意思是请求批准转账 90000000 usdt！
而此处的请求签名本应该是授权，而 Tronscan 把授权识别成了转账。
现在大家应该明白如果点了接收的后果，approve 授权你就把自己的 usdt 钱包授权给了攻击者的地址，90000000 之内的 usdt 可以被攻击者转走。
这种手法也被称之为 “approve钓鱼” 。
三、继续追踪
请求签名的详情为：
从弹出的授权里，看得到是授权给 TVM7gSoNdpgup9SbTKWWY2dHhLVjhehGiy 这个地址，然后去查此地址的转账记录，可以看到 TRC20&TRC721 转入记录全部显示90000000：
这些转入账户就全都是受害者。这其实是 tronscan 的 bug，90000000 <typo id=”typo-714″ data-origin=”的” ignoretag=”true”>的</typo>只是授权，还不是转账。
比如随便看一笔显示金额为 90000000 的交易：
  • https://tronscan.org/#/transaction/2c08ccf5c8fcbeab2e994d57a442a5529d295aec7115db131f24256c5db9809a
可以看到授权：
也仅仅是授权，这里提示小白，实际是授权给这个地址，跟转账界面显示的地址无关。
随便看一个受害者的记录：
可以看到授权了5次，但是暂无转出。
有好几笔都是这样，无转出。经过坚持不懈<typo id=”typo-970″ data-origin=”的” ignoretag=”true”>的</typo>寻找，终于找到了一笔转出，可以看到金额是比较大的为 4276 usdt：
从上图也可以看出，真正的转出时候，TVM7gSoNdpgup9SbTKWWY2dHhLVjhehGiy 是发起地址，而不是收账地址，真正的收账地址是 TAej7uZxaLLqjFx4bDDnc1NishXRCfNqxt。
去 Tronscan 查看此地址的收益，也就是 TRC20&TRC721 转入的记录：
经统计，截止 2021/5/27 下午 12:50 分，第一笔交易产生于 2021-05-25 11:18:42，最后一笔交易产生于 2021-05-27 09:52:45，累计金额：120126.66 usdt，约人民币 780823.39 元。
短短两天时间，赚钱比卖粉还快！
可以看到，攻击者是选择性作案的，作案金额一般都是大于 2000 usdt的。也就是如果你账户里的 usdt 数量太少，可能攻击者看不上、侥幸逃脱转账。
四、防范措施
在转账时候，警惕 “approve钓鱼”。

以上内容由：https://htzkw.com/

根据黑白网获取到的源码来看，扫码支付后后台会记录地址信息，可查询余额并支持直接转账

微信图片_20210814062721.png

此外钓鱼二维码分为三种

微信图片_20210814062943.png

本程序仅用于学术研究，请于下载后24小时内删除，使用本程序所引起的法律纠纷与黑白网无关


report

Recommend

About Joyk


Aggregate valuable and interesting links.
Joyk means Joy of geeK