实时跟踪｜印度最大交易平台WazirX遭骇，黑客正大量出售被盗资产

7 月 18 日，印度加密货币交易平台 WazirX 遭遇黑客攻击，其以太坊网络上的多签钱包被盗。总计 2.349 亿美元已转移到新地址，每笔交易的调用者均由 Tornado Cash 提供资金。

随后，WazirX 官方于 X 回应被盗事件称：「已注意到我们的一个多签钱包遭遇安全漏洞。我们的团队正在积极调查这一事件。为了确保用户资产安全，INR 和加密货币提现将暂时停止，未来将提供进一步的更新。」

此外，Arkham 发布 WazirX 被盗 2.35 亿美元攻击事件悬赏，奖励为 1000ARKM。包括识别 KYC CEX 存款、揭露攻击者的身份以及成功追回资金等在内的贡献都会被奖励，参与者提交的任何信息都将与 WazirX 团队共享。

被盗资产有哪些？

而后据 Lookonchain 监测，印度加密交易平台 WazirX 被盗资产约 2.3 亿美元，主要涉及包括：

5.43 万亿枚 SHIB（约 1.02 亿美元）；

15,298 枚 ETH（约 5250 万美元）；

2050 万枚 MATIC（约 1124 万美元）；

6402.7 亿枚 PEPE（约 760 万美元）；

579 万枚 USDT ；

1.35 亿枚 GALA（约 350 万美元）等。

图源：Lookonchain

资金流向追踪

地址检测

据链上分析师余烬监测，这些被盗资产正在通过 0x35f...5ca (WazirX Exploiter 2) 和 0x90c...1fd (WazirX Exploiter 3) 地址被出售换成 ETH，然后把换得的 ETH 转移至 0x361...092 (WazirX Exploiter 4) 地址。

被盗资产存放地址 (WazirX Exploiter 1)：

https://debank.com/profile/0x04b21735e93fa3f8df70e2da89e6922616891a88/history

链上出售资产地址 (WazirX Exploiter 2/3)：

https://debank.com/profile/0x35febc10112302e0d69f35f42cce85816f8745ca
https://debank.com/profile/0x90ca792206ed7ee9bc9da0d0df981fc5619f91fd

出售资产换得 ETH 存放地址 (WazirX Exploiter 4)：

https://debank.com/profile/0x361384e2761150170d349924a28d965f0dd3f092

被盗资产转移路径，图源：余烬

资产抛售情况追踪

2024-07-18 16:19

或受「WazirX 被盗资产涉及价值超 1 亿美元 SHIB」消息影响，SHIB 短时跌超 5%，暂报 0.00001758 美元。

2024-07-18 16:41

WazirX 攻击者已开始抛售 SHIB，目前已售出价值 61.8 万美元的 SHIB，仍剩余价值 9545 万美元的 SHIB。

2024-07-18 18:53

WazirX 黑客已经售出了价值 6230 万美元的山寨代币换成 18,111 ETH。

目前黑客仍有价值 1.069 亿美元盗取的山寨代币等待出售（其中主要为价值 8033 万美元的 SHIB）。而持有的 ETH 已达 33,409 枚（1.15 亿美元）：包括从 WazirX 盗取的 15,298 ETH+出售山寨代币换得的 18,111 ETH。

2024-07-18 20:36

WazirX 黑客地址于两分钟前将剩余 3.6 万亿枚 SHIB 全部转移至出货地址 0x35fe... 745CA，价值高达 6332 万美元。

2024-07-18 22:21

WazirX 黑客已将价值 1 亿美元的 SHIB 完全抛售，仍剩余 1800 万美元山寨代币尚未售出。

黑客目前持有 58,410 枚 ETH (2.02 亿美元)：直接从 WazirX 盗取的 15,298 枚 ETH 与出售山寨代币换得的 43,112 枚 ETH。

2024-07-19 10:27

WazirX 攻击者总 ETH 持有量已上升至 59097 枚，价值约 2.01 亿美元。这些代币包括直接被盗的 15,298 枚 ETH（约 5200 万美元），以及通过抛售各种资产获得的 43,799 枚 ETH（约 1.49 亿美元）。目前攻击者尚未使用 ETH 采取下一步行动，且仅拥有价值约 1200 万美元的山寨币（CHR、CELR、OOKI 和 FRONT）。

调查进展

7 月 18 日，据 Beosin Alert 检测，预警发现印度交易平台 WazirX 被攻击，攻击者获取到交易平台多签钱包管理员的签名数据，修改钱包的逻辑合约，让钱包执行错误的逻辑，来盗取资产。

攻击者地址：0x6eedf92fb92dd68a270c3205e96dccc527728066；

被攻击地址：0x27fd43babfbe83a81d14665b1a6fb8030a60c9b4。

基于攻击者的攻击行为，推测原因为多签钱包的管理员私钥泄露，Beosin 将攻击原因简析如下：

1、攻击者部署攻击合约：0x27fd43babfbe83a81d14665b1a6fb8030a60c9b4。该合约的功能是提取本合约指定的代币资产

2、攻击者获取到 WazirX 多签钱包管理员的签名数据，将钱包的逻辑合约修改为已经部署好的攻击合约。对应交易为：https://etherscan.io/tx/0x48164d3adbab78c2cb9876f6e17f88e321097fcd14cadd57556866e4ef3e185d3、攻击者向 WazirX 多签钱包提交提取代币交易，由于代理模式的机制，钱包合约会利用 delegatecall 调用攻击合约的相关函数，转走钱包代币。

区块链分析提供商 Elliptic 表示，与朝鲜有关的黑客组织可能是「WAZIRX 2.35 亿美元黑客攻击事件」的幕后黑手。链上侦探 ZachXBT 也表示，通过链上数据分析黑客行为，WazirX 黑客攻击事件具有朝鲜黑客组织 Lazarus Group 的攻击特征。该地址早在 7 月 10 日就通过 SHIB 从 0x09b 多重签名进行测试交易，并由 Tornado 转出 6 笔 0.1 ETH 的 GAS 费用。

ZachXBT 表示：「希望 WazirX 团队能够公开他们的调查结果。我解决了 Arkham 赏金问题，并发现了 WazirX 黑客进行的 KYC 兑换存款，不幸的是，这可能不是很有帮助，因为可以轻松在线购买 KYC 验证帐户以进行任何交易。」

BlockBeats 将紧盯链上动态，为读者及时提供被盗资产出售情况以及交易平台后续反馈。

—-

编译者/作者：区块律动BlockBeat

玩币族申明：玩币族作为开放的资讯翻译/分享平台，所提供的所有资讯仅代表作者个人观点，与玩币族平台立场无关，且不构成任何投资理财建议。文章版权归原作者所有。