BTC:慢雾：复盘 Liquid 交易平台被盗 9000 多万美元事件

北京时间2021年8月19日10:05，日本加密交易平台Liquid称其热钱包遭到攻击。从官方发布的报告来看，Liquid交易平台上被盗币种涉及BTC、ETH、ERC20代币、TRX、TRC20代币、XRP等超70种，币种之多，数额之高，令人惊叹。

慢雾AML团队利用旗下MistTrack反追踪系统分析统计，Liquid共计损失约9,135万美元，包括约462万美元的BTC、3,216万美元的ETH、4,290万美元的ERC20代币、23万美元的TRX、160万美元的TRC20、1,093万美元的XRP。

慢雾AML团队全面追踪了各币种的资金流向情况，也还原了攻击者的洗币手法，接下来分几个部分向大家介绍。

BTC部分

攻击者相关地址

慢雾AML团队对被盗的BTC进行全盘追踪后发现，攻击者主要使用了“二分法”的洗币手法。所谓“二分法”，是指地址A将资金转到地址B和C，而转移到地址B的数额多数情况下是极小的，转移到地址C的数额占大部分，地址C又将资金转到D和E，依次类推，直至形成以很小的数额转移到很多地址的情况。而这些地址上的数额，要么以二分法的方式继续转移，要么转到交易平台，要么停留在地址，要么通过Wasabi等混币平台混币后转出。

慢雾：从Multichain流出的资金总额高达2.65亿美元，分布在9条链:金色财经报道，自7月7日以来，从 Multichain 流出的资金总额高达 2.65 亿美元，分布在 Ethereum、BNB Chain、Polygon、Avalanche、Arbitrum、Optimism、Fantom、Cronos、Moonbeam 链。其中 6582 万美元已经被 Circle 和 Tether 冻结，1,296,990.99 ICE（约 162 万美元） 被 Token 发行方 Burn。流出的资金中，包括：

1）从 Multichain: Old BSC Bridge 转出的 USDT；

2）从 Multichain: Fantom Bridge 转出的 USDC、DAI、LINK、UNIDX、USDT、WOO、ICE、CRV、YFI、TUSD、WETH、WBTC；

3）从 Anyswap: Bridge Fantom 转出的 BIFI；

4）从 Multichain: Moonriver Bridge 转出的 USDC、USDT、DAI、WBTC；

5）从 MultiChain: Doge Bridge 转出的 USDC；

6）从 Multichain: Executor 转出的 DAI、USDC、BTCB、WBTC、WETH、Dai.e、WBTC.e、Bridged USDC、BTC、fUSDT、ETH 等；

7）从被 Etherscan 标记为 Fake_Phishing183873 的 0xe1910...49c53 转出的 WBTC、USDT、ETH，同时我们认为该标记（Fake Phishing183873）或许是 Etherscan 上的虚假标记，地址可能以前属于 Multichain 官方账户。[2023/7/11 10:48:30]

以攻击者地址为例：

慢雾：NimbusPlatform遭遇闪电贷攻击，损失278枚BNB:据慢雾安全团队情报，2022 年 12 月 14 日， BSC 链上的NimbusPlatform项目遭到攻击，攻击者获利约278枚BNB。慢雾安全团队以简讯的形式分享如下：

1. 攻击者首先在 8 天前执行了一笔交易（0x7d2d8d），把 20 枚 BNB 换成 NBU_WBNB 再换成 GNIMB 代币，然后把 GNIMB 代币转入 Staking 合约作质押，为攻击作准备；

2. 在 8 天后正式发起攻击交易（0x42f56d3），首先通过闪电贷借出 75477 枚 BNB 并换成 NBU_WBNB，然后再用这些 NBU_WBNB 代币将池子里的绝大部分 NIMB 代币兑换出；

3. 接着调用 Staking 合约的 getReward 函数进行奖励的提取，奖励的计算是和 rate 的值正相关的，而 rate 的值则取决于池子中 NIMB 代币和 GNIMB 代币的价格，由于 NIMB 代币的价格是根据上一步闪电贷中被操控的池子中的代币数量来计算的，导致其由于闪电贷兑换出大量的代币而变高，最后计算的奖励也会更多；

4. 攻击者最后将最后获得的 GNIMB 代币和拥有的 NIMB 代币换成 NBU_WBNB 代币后再换成 BNB，归还闪电贷获利；

此次攻击的主要原因在于计算奖励的时候仅取决于池子中的代币数量导致被闪电贷操控，从而获取比预期更多的奖励。慢雾安全团队建议在进行代币奖计算时应确保价格来源的安全性。[2022/12/14 21:44:29]

慢雾：Badger DAO黑客已通过renBTC将约1125 BTC跨链转移到10 个BTC地址:12月2日消息，Badger DAO遭遇黑客攻击，用户资产在未经授权的情况下被转移。据慢雾MistTrack分析，截止目前黑客已将获利的加密货币换成 renBTC，并通过renBTC 将约 1125 BTC 跨链转移到 10 个 BTC 地址。慢雾 MistTrack 将持续监控被盗资金的转移。[2021/12/2 12:46:11]

据MistTrack反追踪系统显示，共107.5BTC从Liquid交易平台转出到攻击者地址，再以8~21不等的BTC转移到下表7个地址。

为了更直观的展示，我们只截取了地址资金流向的一部分，让大家更理解“二分法”洗币。

动态 | 慢雾：10 月发生多起针对交易所的提币地址劫持替换攻击:据慢雾区块链威胁情报(BTI)系统监测及慢雾 AML 数据显示，过去的 10 月里发生了多起针对数字货币交易所的提币地址劫持替换攻击，手法包括但不限于：第三方 JS 恶意代码植入、第三方 NPM 模块污染、Docker 容器污染。慢雾安全团队建议数字货币交易所加强风控措施，例如：1. 密切注意第三方 JS 链接风险；2. 提币地址应为白名单地址，添加时设置双因素校验，用户提币时从白名单地址中选择，后台严格做好校验。此外，也要多加注意内部后台的权限控制，防止内部作案。[2019/11/1]

以图中红框的小额转入地址为例继续追踪，结果如下：

可以看到，攻击者对该地址继续使用了二分法，0.0027BTC停留在地址，而0.0143BTC转移到Kraken交易平台。

攻击者对其他BTC地址也使用了类似的方法，这里就不再重复讲解。慢雾AML团队将对资金停留地址进行持续监控及标记，帮助客户做出有效的事前防范，规避风险。

ETH与ERC20代币部分

攻击者相关地址

声音 | 慢雾：Ghostscript存在多个漏洞:据慢雾区消息，Google Project Zero发布Ghostscript多个漏洞预警，远端攻击者可利用漏洞在目标系统执行任意代码及绕过安全限制。Ghostscript 9.26及更早版本都受影响。软件供应商已提供补丁程序。[2019/1/24]

经过慢雾AML团队对上图几个地址的深度分析，总结了攻击者对ETH/ERC20代币的几个处理方式。

1.部分ERC20代币通过Uniswap、Balancer、SushiSwap、1inch等平台将代币兑换为ETH后最终都转到地址1。

2.部分ERC20代币直接转到交易平台，部分ERC20代币直接转到地址1并停留。

3.攻击者将地址1上的ETH不等额分散到多个地址，其中16\,660ETH通过Tornado.Cash转出。

地址2的538.27ETH仍握在攻击者手里，没有异动。

4.攻击者分三次将部分资金从Tornado.cash转出，分别将5\,600ETH转入6个地址。

其中5,430ETH转到不同的3个地址。

另外170ETH转到不同的3个交易平台。

攻击者接着将3个地址的ETH换成renBTC，以跨链的方式跨到BTC链，再通过前文提及的类似的“二分法”将跨链后的BTC转移。

以地址为例：

以跨链后的其中一个BTC地址为例。根据MistTrack反追踪系统如下图的显示结果，该地址通过renBTC转入的87.7BTC均通过混币平台Wasabi转出。

TRX/TRC20部分

攻击者地址

TSpcue3bDfZNTP1CutrRrDxRPeEvWhuXbp

资金流向分析

据MistTrack反追踪系统分析显示，攻击者地址上的TRC20兑换为TRX。

再将所有的TRX分别转移到Huobi、Binance交易平台。

XRP部分

攻击者相关地址

rfapBqj7rUkGju7oHTwBwhEyXgwkEM4yby

资金流向分析

攻击者将11,508,495XRP转出到3个地址。

接着，攻击者将3个地址的XRP分别转到Binance、Huobi、Poloniex交易所。

总结

本次Liquid交易平台被盗安全事件中，攻击者以迅雷不及掩耳之速就将一个交易平台内超70种货币全部转移，之后再通过换币平台、混币平台以及其他交易平台将资金顺利洗出。

截止目前，大部分被盗资产还控制在攻击者手中。21,244,326.3枚TRX转入交易平台，11,508,516枚XRP转入交易平台，攻击者以太坊地址2存有538.27ETH，以太坊地址1仍有8.9ETH以及价值近540万美元的多种ERC20代币，慢雾AML团队将持续对异常资金地址进行实时监控与拉黑。

攻击事件事关用户的数字资产安全，随着被盗数额越来越大，资产流动越来越频繁，加速合规化成了迫在眉睫的事情。慢雾AML团队建议各大交易平台接入慢雾AML系统，在收到相关“脏币”时会收到提醒，可以更好地识别高风险账户，避免平台陷入涉及的境况，拥抱监管与合规的大势。

标签：BTCETHRC2RC20btcs币官网BabyETH V2Wrapped Secret (ERC20)brc20钱包有哪些

XRP热门资讯