本篇主要集中解读 Ronin Network 安全事件反分析及工具方法介绍。
事件背景
工具及方法
在正式开始反分析之前,先介绍一个高效的工具和一套有效应对复杂情况的分析方法。
(MistTrack 反追踪系统示例图)
MistTrack 反追踪系统是一套由慢雾科技创建的专注于打击加密货币活动的 SaaS 系统,具有资金风险评分模块、交易行为分析模块、资金溯源追踪模块、资金监控模块等核心功能。
AML Risk Score
MistTrack 反追踪系统主要从地址所属实体、地址历史交易活动、慢雾恶意钱包地址库三方面为其计算 AML 风险评分。当地址所属实体为高风险主体(如混币平台)或地址与已知的风险主体存在资金来往时,系统会将该地址标记为风险地址。同时,结合慢雾恶意钱包地址库中的恶意地址数据集,对已核实的勒索、盗币、钓鱼欺诈等非法行为的涉案地址进行风险标记。
欧洲央行发布数字欧元第三份进展报告,推出后或将增加跨境功能:4月25日消息,欧洲中央银行(ECB)发布关于数字欧元设计的第三份进展报告,研究了欧洲央行管理委员会批准的数字欧元访问和分配选项,其中数字欧元用户将由支付服务提供商(PSP)按照其既定程序(如 KYC)进行注册,店内销售可以使用二维码或非接触式技术进行,在线支付和离线功能也将成为可能,PSP 将能够提供可选和增值服务,例如分期付款或定期付款。此外数字欧元在欧元区推出后,可能会增加跨境功能。[2023/4/25 14:24:50]
Address Labels
MistTrack 反追踪系统积累了超 2 亿个钱包地址标签,地址标签主要包含 3 个分类:
(1)它归属于什么实体,如 Coinbase、Binance
(2)它的链上行为特征,如 DeFi 鲸鱼、MEV Bot 以及 ENS
(3)一些链下情报数据,如曾使用过 imToken/MetaMask 钱包
Investigations
追踪和识别钱包地址上的加密资产流向,实时监控资金转移,将链上和链下信息整合到一个面板中,为司法取证提供强有力的技术支持。
报告:以太坊月销毁量持续走低,年通胀速度下降64%:4月10日,欧科云链链上大师团队对外发布了《2022 Q1加密行业报告》。报告指出,自EIP-1559实施以来,截至Q1季度以太坊已销毁204.80万枚ETH(约67亿美元)。得益于EIP-1559,以太坊年增发降至178.11万枚,年通胀率为1.52%(未实施EIP-1559,年通胀率4.20%),这意味着伴随EIP-1559的实施,以太坊的通胀速度下降了近64%。
其中2022年1月,以太坊在凭借NFT热潮创下了月度销毁量新高后,开始持续走低 。销毁量的增加,一度使1月份以太坊净发行量降至2.29万枚,不过随着2、3月份链上活动下降,以太坊的月净新增量又开始逐渐回升。[2022/4/11 14:17:27]
(MistTrack 追踪分析示例图)
通过标记 1 千多个地址实体、2 亿多个地址标签,10 万多个威胁情报地址,以及超过 9000 万个与恶意活动相关的地址,MistTrack 为反分析和研究提供了全面的情报数据帮助。通过对任意钱包地址进行交易特征分析、行为画像以及追踪调查,MistTrack 在反分析评估工作中起到至关重要的作用。
报告:借助“互联网+”和区块链发展机遇,推动养老服务业发展升级提质:《社会保障绿皮书:中国社会保障发展报告(2020)》20日在北京发布。报告指出,“十四五”时期养老服务体系建设必须打通“堵点”,消除“痛点”,持续完善居家社区机构养老相协调、医养相结合的养老服务体系。比如,养老服务业发展要更充分运用互联网思维,借助“互联网+”和区块链快速发展机遇,推动养老服务业发展升级提质。(中新社)[2020/6/20]
MistTrack 可以满足常见的反分析场景,而遇到复杂特殊的情况就需要其他的方法辅助分析。从区块链反资金态势中我们可以看到很多被黑事件发生后,在 ETH/BSC 链上的资金都不约而同地流向了一片灰暗之地——Tornado.Cash,Tornado.Cash 已成为 ETH/BSC 链上反的主战场。
新的手法需要新的分析方法,对 Tornado.Cash 转出分析的需求变得越来越普遍,此处我们将提出一个针对 Tornado.Cash 资金转出的分析方法:
记录目前已知的信息,已知信息包括转入 Tornado.Cash 总数,第一笔 Tornado.Cash 存款时间,第一笔 Tornado.Cash 存款的区块高度。
动态 | 灰度投资Q3报告:84%的资金来自于机构投资者:早间提及,灰度投资发布Q3报告,本季度投资流入超2.5亿美元,较上季度增长两倍。不过,本季度灰度的信托产品普遍出现回调,其中比特币信托季度回报率为-29.4%,以太坊信托-40.1%,而Zcash与LTC信托跌幅最大都超过60%。第三季度,以对冲基金为代表的机构投资者仍是灰度资金流入组成的强劲动力,其中84%的资金来自于机构投资者,相比于近一年来的80%有所增长,此外相较于上季度75%的占比也有所增长,机构投资对加密货币的兴趣只增不减。此外,近80%的资金流入与将数字资产转换为灰度家庭系列“in-kind”产品以换取股票的贡献份额有关,而这一趋势近期有所加速,在过去的12个月里该占比仅71%。[2019/10/16]
将参数填入我们准备的分析面板(https://dune.com/awesome/Tornado-withdraw-analysis)。
得到初步的 Tornado.Cash 提款数据结果,再使用特征分类的方式对数据结果做进一步筛选。
筛选后的结果是一批疑似黑客转出的结果集,取概率最高的结果集并对它进行验证。
动态 | 报告:XRP相关推文总体情绪偏中性:The Tie最近发布的一份研究报告显示,有关XRP的推文总体情绪偏中性,情绪指数为53.05%;其中新加坡XRP相关推文的乐观情绪最高,占比约85.45%;日本的XRP悲观情绪最高,占比约60.1%。对LTC的情绪相较XRP更高一些,俄罗斯有关LTC乐观情绪的推文最多,占比约85.42%;西班牙和新加坡有关LTC的悲观推文占比分别为63.89%和62.07%。有关以太坊的积极推文中,最高的分别是巴基斯坦、乌克兰以及南非,占比分别为81.9%,79.14%,78.57%;墨西哥有关以太坊的悲观推文最多,占比约为54.84%。[2019/7/10]
Tornado.Cash 转出分析结论。
(Dune Dashboard - Tornado.Cash 转出分析)
通过这个 Tornado.Cash 资金转出的分析方法,我们已成功分析出 Ronin Network 等多个安全事件从 Tornado.Cash 转出后的资金详情。
显而易见,这个 Tornado.Cash 资金转出的分析方法同样存在局限性:
转入 Tornado.Cash 的数量分类也是一个匿名集,资金量越大相应的匿名集数量越少,资金量越小则相反。所以对于资金量小的分析难度更大。
而在 BTC 链上,通过区块链反资金态势我们可以看到 ChipMixer 和 Blender 是黑客的常用平台。Blender 目前已被美国财政部制裁,站点已不可用,这里不再做进一步的探讨。
ChipMixer 流入资金量巨大,我们同样需要提出一个针对 ChipMixer 资金转出的分析方法。
识别 ChipMixer 的提款特征。
输入地址类型
输出地址类型
输入数额特征
版本
锁定时间
bech32(bc1q...)
所有的输入数额都满足 Chips(即 0.001 ?* 2 的 n 次方,n < 14)的要求
区块高度 - 1/区块高度 - 2/区块高度 - ?3
根据上述提款特征对相应时间段的结构化区块数据进行扫描和筛选,得到这个时间段内 ChipMixer 的提款记录。
对提款记录数据归类结果集,取概率最高的结果集并对它进行验证。
ChipMixer 转出分析结论。
反分析详述
根据上述方法,针对 Ronin Network 安全事件做出以下分析:
黑客地址:0x098B716B8Aaf21512996dC57EB0615e2383E2f96(ETH 链)
攻击手续费来源:SimpleSwap
资金转移:
(Ronin Bridge Exploiter 资金转移时间线)
ETH 资金转移:
黑客获利资金流向主体详情如下表:
注:其他未做统计的流向资金为洗币过程损失。
Tornado.Cash 资金转移:
注:数据有效时间截止于 7 月 20 日。
BTC 资金转移:
注:0.1 BTC 以下转移额不做统计。
ChipMixer 资金转移:
注:0.1 BTC 以下转移额不做统计。
总结
以上便是关于 Ronin Network 安全事件反分析以及工具方法介绍的全部内容,至此,关于?2022?上半年区块链安全及反分析报告的四篇完整解读已全部完成,可以直接点击顶部专题合集#区块链安全与反报告浏览查看。
完整报告下载:
https://www.slowmist.com/report/first-half-of-the-2022-report.pdf
慢雾科技
个人专栏
阅读更多
金色早8点
Bress
PANews
链捕手
财经法学
成都链安
Odaily星球日报
区块律动BlockBeats
厦门打造“元宇宙生态样板城市”动作频频,继日前成立全国首个元宇宙产业人才基地之后,日前,厦门市元宇宙产业联盟成立大会在信息未来酒店举行.
1900/1/1 0:00:00Web3?之所以会出现,是因为中心化机构在管理金融和社会基础设施时无法保障安全性、公平性和透明性.
1900/1/1 0:00:00Cosmos 是我见过的最完整的生态系统,对开发、合作、扩张和进化的进程让我想起了 2017 年的以太坊,但它的成熟度更高.
1900/1/1 0:00:00来源:雷科技互联网组编辑:我不是奥特曼_去年,大家听到最多的一个新名词,必然是「元宇宙」。虽然大多数人都解释不清楚元宇宙具体是个什么东西,但还是有大把人跟风炒作,进而诞生了元宇宙游戏、元宇宙社交.
1900/1/1 0:00:00来源 | ethresear.ch作者 | Vitalik Buterin译者按:本文需要读者对状态管理和 state expiry 机制作一定了解.
1900/1/1 0:00:00NFT 世界中从来不缺少机会,唯一缺少的就是发现价值的眼睛。某数字藏品“共识群”中,曾经所有人都将这句话奉为信仰。所谓“共识群”,即持有某款数藏的用户们为维系价格的抱团.
1900/1/1 0:00:00