木星链 木星链
Ctrl+D收藏木星链
首页 > 币赢 > 正文

ORN:慢雾 AML:“揭开” Tornado.Cash 的匿名面纱

作者:

时间:1900/1/1 0:00:00

By:慢雾AML团队

随着DeFi、NFT、跨链桥等项目的火热发展,黑客攻击事件也层出不穷。有趣的是,据慢雾统计,80%的黑客在洗币过程中都使用了混币平台Tornado.Cash,本文以KuCoin被盗事件为例,试图从追踪分析过程中找到一丝揭开Tornado.Cash匿名性的可能。

事件概述

据KuCoin官网公告,北京时间2020年9月26日凌晨,KuCoin交易所的热钱包地址出现大量异常的代币提现,涉及BTC、ETH等主流币以及LINK、OCEN等多种代币,牵动了无数用户的心。

图1

据慢雾AML团队统计,本次事件被盗资金超2.7亿美元,具体如下图:

图2

值得注意的是,我们全面追踪后发现黑客在这次攻击事件中大量使用了Tornado.Cash来清洗ETH。在这篇文章中,我们将着重说明黑客如何将大量ETH转入到Tornado.Cash,并对Tornado.Cash的转出进行分析,以分解出被盗资金可能流向的地址。

慢雾:JPEG'd攻击者或已将全部6106.75枚ETH归还给项目方:8月4日消息,慢雾MistTrack监测显示,JPEG'd攻击者或已将全部6106.75枚ETH归还给项目方。[2023/8/4 16:18:46]

Tornado.Cash是什么?

Tornado.Cash是一种完全去中心化的非托管协议,通过打破源地址和目标地址之间的链上链接来提高交易隐私。为了保护隐私,Tornado.Cash使用一个智能合约,接受来自一个地址的ETH和其他代币存款,并允许他们提款到不同的地址,即以隐藏发送地址的方式将ETH和其他代币发送到任何地址。这些智能合约充当混合所有存入资产的池,当你将资金放入池中时,就会生成私人凭据,证明你已执行了存款操作。而后,此私人凭据作为你提款时的私钥,合约将ETH或其他代币转移给指定的接收地址,同一用户可以使用不同的提款地址。

如何转入?

攻击得手后,黑客开始大范围地将资金分批转移到各大交易所,但还没来得及变现就被多家交易所冻结了。在经历了白忙一场的后,黑客将目光转向了DeFi。

慢雾创始人:去年11月14日-23日期间使用TrustWallet浏览器扩展创建的钱包存在风险:4月22日消息,慢雾创始人余弦在社交媒体引用Trust Wallet公告表示,若用户使用TrustWallet浏览器扩展且在2022年11月14日-23日期间创建了钱包,则该钱包将存在风险。本质原因是当时TrustWallet浏览器扩展使用的MT19937伪随机数生成器没有提供足够的随机性,导致私钥可以被破解。[2023/4/22 14:20:28]

据慢雾AML旗下MistTrack反追踪系统显示,黑客(0xeb31...c23)先将ERC20代币分散到不同的地址,接着使用Uniswap、1inch和Kyber将多数ERC20代币换成了ETH。

图3

大部分ERC20代币兑换成ETH后,被整合到了以下主要地址:

表1

在对ETH和ERC20代币进行完整追踪后,我们梳理出了资金是如何在黑客地址间移动,并分解出了资金是以怎样的方式进入Tornado.Cash。

慢雾:警惕Web3钱包WalletConnect钓鱼风险:金色财经报道,慢雾安全团队发现 Web3 钱包上关于 WalletConnect 使用不当可能存在被钓鱼的安全风险问题。这个问题存在于使用移动端钱包 App 内置的 DApp Browser + WalletConnect 的场景下。

慢雾发现,部分 Web3 钱包在提供 WalletConnect 支持的时候,没有对 WalletConnect 的交易弹窗要在哪个区域弹出进行限制,因此会在钱包的任意界面弹出签名请求。[2023/4/17 14:08:53]

图4

黑客将资金按时间先后顺序转入Tornado.Cash的详情如下:

表2

转到了哪?

猜想

****

巨额的ETH进入Tornado.Cash,会集中表现出一些可追踪的特征。2.以黑客急于变现的行为分析,猜想黑客将资金存入Tornado.Cash后会随即提款,或下次存入时提款。

声音 | 慢雾联合创始人余弦:警惕钱包助记词截图、私钥剪切板被作恶App盗取:慢雾联合创始人余弦今日发布微博称,安卓的App权限控制确实很坑,一个不小心你的钱包助记词截图、私钥剪切板就可能被作恶App盗取,不需要root,攻击场景很广、很容易。iPhone做得相对好,但也要小心剪贴板窃取。剪切板用完就应该释放,自动释放机制没有,就养成个手动替换的习惯。[2019/2/16]

3.分析攻击者使用洗币平台的方式和行为,可以获得资金的转移地址。

可能的链上行为

****

资金从Tornado.Cash转出的时间范围与黑客将资金转入Tornado.Cash的时间范围近似。2.一定时间段内,从Tornado.Cash转出的资金会持续转出到相同地址。

验证

****

以黑客地址(0x34a...c6b)为例:

如表2结果所述,黑客在2020-10-2316:06:28~2020-10-2610:32:24(UTC)间,以每次100ETH,存115次的方式将11,500ETH存入Tornado.Cash。为了方便说明,我们只截取了该地址在2020-10-243:00:07~6:28:33(UTC)间的存款记录,如下图:

动态 | 慢雾区:已修复EOS智能合约底层asset类溢出缺陷:据慢雾区消息, EOS智能合约底层asset类存在溢出缺陷,目前 EOSIO v1.1.4版本已修复该问题。如果智能合约中使用到了 asset的乘法操作,建议更新对应的代码并重新编译合约。因为像 asset这样的工具代码是静态编译进合约中的,必须重新编译才能解决其中的安全隐患。[2018/8/9]

图5

接着,我们查看_Tornado.Cash:100ETH_合约的交易记录,找到地址(0x34a...c6b)在同一时间段的存款记录,下图红框地址(0x82e...398)在此时间段内大量提款的异常行为引起了我们的注意。

图6

查看该地址(0x82e...398)在此时间段的交易哈希,发现该地址并没有将ETH提款给自己,而是作为一个合约调用者,将ETH都提款到了地址(0xa4a...22f)。

图7

图8

同样的方式,得出黑客地址(0x34a...c6b)经由Tornado.Cash提款分散到了其他地址,具体如下:

表3

经过核对,发现从Tornado.Cash提款到表3中六个地址的数额竟与黑客存款数额11,500ETH一致,这似乎验证了我们的猜想。对其他地址的分析方法同理。

接着,我们继续对这六个地址进行追踪分析。据MistTrack反追踪系统展示,黑客将部分资金以50~53ETH不等转向了ChangeNOW、CoinSwitch、Binance等交易平台,另一部分资金进入第二层后也被黑客转入了上述交易平台,试图变现。

图9

总结

本文主要说明了黑客是如何试图使用Tornado.Cash来清洗盗窃的ETH,分析结果不由得让我们思考:Tornado.Cash真的完全匿名吗?一方面,既然能分析出部分提款地址,说明不存在绝对的匿名;另一方面,匿名性是具备的,或许只是Tornado.Cash不适合在短时间内混合如此大规模的资金而已。

截止目前,KuCoin官方表示已联合交易所、项目方、执法和安全机构追回约2.4亿美元资金。从各种攻击事件看来,DeFi或许已成为黑客转移资金的通道,而今监管已至,合规化的脚步愈发逼近,有合规需求的项目方,可以考虑接入慢雾AML系统(aml.slowmist.com),即使黑客使用了DeFi,也无处遁形。

往期回顾

DeFi平台CreamFinance再遭攻击,1.3亿美金被盗

慢雾区|区块链被黑档案库升级上线

慢雾:复盘Liquid交易平台被盗9000多万美元事件

天价手续费分析:我不是真土豪

Avalanche链上闪电贷攻击事件——ZabuFinance被黑分析

慢雾导航

慢雾科技官网

https://www.slowmist.com/

慢雾区官网

https://slowmist.io/

慢雾GitHub

https://github.com/slowmist

Telegram

https://t.me/slowmistteam

Twitter

https://twitter.com/@slowmist_team

Medium

https://medium.com/@slowmist

币乎

https://bihu.com/people/586104

知识星球

https://t.zsxq.com/Q3zNvvF

火星号

http://t.cn/AiRkv4Gz

链闻号

https://www.chainnews.com/u/958260692213.htm

免责声明:作为区块链信息平台,本站所发布文章仅代表作者个人观点,与链闻ChainNews立场无关。文章内的信息、意见等均仅供参考,并非作为或被视为实际投资建议。

慢雾

慢雾

慢雾科技是一家专注区块链生态安全的国家高新技术企业,通过「威胁发现到威胁防御一体化因地制宜的安全解决方案」服务了全球许多头部或知名的项目。慢雾科技的安全解决方案包括:安全审计、威胁情报、漏洞赏金、防御部署、安全顾问等服务并配套有加密货币反、假充值漏洞扫描、漏洞监测、被黑档案库、智能合约防火墙、SafeStaking等SAAS型安全产品,已有商业客户上千家。慢雾慢雾科技慢雾AML慢雾安全Slowmist查看更多

标签:ORNCASTORTornado.CashUnicorn MilkTornado.CashStorage Coi

币赢热门资讯
STD:大币网(Dcoin)关于永续合约系统升级维护的公告(已完成)

亲爱的大币网(Dcoin)用户:大币网(Dcoin)已完成对永续合约系统功能的升级维护,现已恢复正常交易.

1900/1/1 0:00:00
区块链:新兴公链角逐,谁将最先比肩以太坊?

本视频由白泽研究院联合腾讯新闻共同出品,点击查看视频。由于以太坊公链上DeFi和NFT领域的爆炸性增长,导致以太坊的性能很难承载更大的市场需求,但是官方解决方案的以太坊2.0的进展缓慢.

1900/1/1 0:00:00
HTT:【奖励发放】ETH限时折扣第三期活动结束及奖励发放的公告

ETH限时折扣第三期活动结束及奖励发放的公告作者AAXManager一周前已更新尊敬的AAX用户:AAX于2021年9月30日17:00-10月10日16:59(UTC8)举办的“ETH限时折扣.

1900/1/1 0:00:00
USD:幣安寶階梯利率,年化收益增長達6倍

親愛的用戶:“幣安寶”活期產品現已上線新的年化收益結構-階梯利率。此功能旨在幫助用戶增加活期儲蓄收入。目前,新的階梯利率結構適用於以下貨幣:BTC、USDT、BUSD、USDC.

1900/1/1 0:00:00
GATE:Gate.io OLYMPUS/USDT流动性矿池今日新增额外限时奖励 5,812,003,760 OLYMPUS

为鼓励更多用户积极参与Gate.io流动性挖矿,今日中午11:00,OLYMPUS/USDT流动性矿池奖励新增额外5,812,003.

1900/1/1 0:00:00
AUD:Audius 战略顾问 Cooper Turley 加入由 a16z 前合伙人创办的加密基金 Variant Fund

链闻消息,区块链音乐流媒体Audius战略顾问CooperTurley发推称,加入由a16z前合伙人JesseWalden创办的加密投资基金VariantFund,作为其最新的风险投资合伙人.

1900/1/1 0:00:00