本文由 X-explore 和 WuBlockchain 联合发布。
一、介绍
持续近半年的零值转移钓鱼攻击，近日又迎来技术升级。链上监控显示，目前已演变为小额转账钓鱼和假币转账钓鱼。新的攻击方式已经产生了高达800万美元的利润，结合我们之前关于零价值转移钓鱼的报告（ 地址下毒 Attack, A continuing Threat ），链上的总损失已经达到了3200万美元。
我们敦促用户在进行交易时三重检查地址的正确性。钱包APP和区块链浏览器团队应及时完善产品安全功能。
此外，X-explore 可以为这种攻击提供实时地址标签。
二． （旧）零值转移钓鱼攻击概述
从2022年11月开始，链上出现了一种新的钓鱼方式。攻击者构造与正常交易的预期接收者相似的地址，然后向链上用户发送大量值为零的虚假代币转账数据。这使他们能够从错误的交易中获利。
此类攻击具有以下特点：
- 攻击是隐蔽和普遍的。攻击者构建的地址与合法地址只有一个字符差异或完全没有差异。区块链浏览器会自动省略地址的中间字符。因此，攻击者只需专注于创建看起来与原始地址相同的地址。此外，由于主流代币逻辑不验证零价值转账，任何人都可以发起此类转账，这意味着任何交易都可以插入任何人的交易列表中。
- 成本低，回报高。仅ETH链上零价值钓鱼的 gas 成本就在 2,000 ETH左右（约合 400 万美元），通过该骗局获得的累计资金高达 2100 万美元。
三、 （最新）小额转账钓鱼攻击
一、原理介绍
攻击者在监听正常代币转账后，将原始代币数量缩小数万、数十万倍，然后通过钓鱼钱包转发给受害者，以跳过传统零价值代币钓鱼的监听，包括绕过Etherscan的零值-价值转移网络钓鱼攻击警告。通过实际转账增加地址的可信度，让更多的受害者上当受骗。
2.攻击情况
此次小额转账钓鱼攻击最早发生于2023年2月19日，一直持续到3月26日，累计向用户交易列表插入了25万笔钓鱼攻击。目前，以太坊网络上只有一个小额转账钓鱼攻击者。
攻击者为攻击发起了 30,000 个合约调用，总的Gas费成本为 404 ETH （约合 72.7 万美元），小额代币的成本约为 4 万美元。其中，针对USDT的钓鱼币成本占所有钓鱼币的71%。
共有 73,000 名中毒攻击受害者，共有 23 名不幸用户被转移到错误地址，总计 120 万美元。在被盗资金中，USDC和USDT分别占51%和49%。
3. 攻击溯源
攻击者的直接资金来源来自其他钓鱼地址。追溯最早的地址，资金来源是FixedFloat。 The attacker's real address is User1 : 0xe153605BA5bDAa492246603982AbfCcb297c72e9 , and two other commonly used addresses are also associated with this address: User2 : 0x0a153cd1b0f36447e4d541e08fabd45f7a302817 and User3 : 0x5b8544e1e7958715ededa0e843561ebbf0c728a8 .攻击者的地址还与 Binance、Coinbase、Kucoin 和 Kraken 交易所的存款地址相关联，可以通过交易所的 KYC 信息进一步调查。
攻击者的资金流向主要由三部分组成：
一、转移资金是其他攻击的成本，比如零价值转移钓鱼的gas费。
二．将资金存放在当前地址，或参与质押赚取利润。
三、洗钱。例如，攻击者将130个ETH转入Avalanche，然后通过多跳转回ETH，最后兑换成USDT，洗入MEXC提现。 MEXC用户充值地址为0xDa818c1174105a49C8B3Fe43a96039024244df6B 。
四、 （最新）假代币转移钓鱼攻击
一、原理介绍
攻击者在监听代币转账后，伪造同名代币，并构造相同数量的转账记录给用户。钓鱼钱包和原始地址在浏览器可视化中的位数完全一致，校验和结果只有一两个字母的大小写差异。
2.攻击情况
假代币转移攻击自2023年3月18日以来一直在进行，预计将作为一种长期的钓鱼攻击继续存在，类似于零价值代币转移钓鱼。
自3月18日起，19天内，假币中毒钓鱼攻击的gas成本已花费ETH，完成42.3万个地址中毒，累计10.2万个地址遭受假币中毒钓鱼攻击。
过去19天，共有27名受害者遭受损失，被盗金额675万美元，其中60%为USDT，40%为USDC。
最严重的受害者在连续两笔交易中错误地转移了总计价值 400 万美元的 USDC（ 0x02f35f520e12c9383f8e014fbe03ad73524be95d ）。
3. 攻击溯源
攻击者的资金来源和流向都与Tornado.cash有关。仅从地址0x6AA7BA04DD9F3a09a02941901af10d12C8D1C245开始，就有 1500 ETH流入 Tornado.cash。
五、结语
本文对两种升级的Transfer Phishing Attacks方式进行数据可视化和持续跟踪，揭示黑客链上钓鱼攻击的最新动向和技术。
由于这些恶意攻击，Etherscan 浏览器的用户体验急剧下降。一笔交易的真假需要几秒钟的时间来区分，大量的假数据占据了区块链上的空间，真假难辨。
我们建议所有链上用户停止从区块链复制地址进行交易，不要相信区块链浏览器和钱包的识别和防御方法。黑客总是走在任何防御技术的前面，他们构造的地址总是防不胜防。我们建议所有链上用户在进行交易和建立自己的地址簿之前，先离线获取地址并再次确认。
沙丘仪表板： https://dune.com/opang/zero-value-token-transfer-phishing-scam
x-explore平台能够对区块链钓鱼攻击进行实时监控。欢迎各位区块链浏览器和钱包团队咨询。
更多请关注x-explore。
镜像：https: //mirror.xyz/x-explore。ETH
推特：https: //twitter.com/x_explore_eth
