작성자: Certik
2024년 6월부터 CertiK 보안팀은 다수의 유사 피싱/드레이너 거래를 모니터링했으며, 6월에만 관련 금액이 5,500만 달러를 넘어섰습니다. 8월과 9월에 들어서면서 관련 피싱 주소의 활동이 더욱 빈번해졌습니다. 공격 점점 폭력적인 상황이되고 있습니다. 2024년 3분기 동안 피싱 공격은 가장 많은 금전적 손실을 초래한 공격 방법이 되었으며, 피싱 공격자는 65건의 공격 작전에서 2억 4,300만 달러 이상을 획득했습니다. CertiK 보안팀 분석에 따르면 최근 빈번하게 발생하는 피싱 공격은 악명 높은 피싱 툴팀인 Inferno Drainer와 관련이 있을 가능성이 가장 높다. 2023년 말 세간의 이목을 끌며 '은퇴'를 선언했던 팀이지만, 이제 다시 활발히 활동할 것으로 보이며 컴백하며 대규모 공격을 잇달아 일으키고 있다.
본 글에서는 이러한 배경을 바탕으로 인페르노 드레이너(Inferno Drainer), 노바 드레이너(Nova Drainer) 등 피싱 공격 그룹의 대표적인 활동 방식을 분석하고 이들의 행동 특성을 구체적으로 나열해 본다. 이러한 분석을 통해 사용자가 피싱 사기를 식별하고 예방하는 능력을 향상시키는 데 도움이 되기를 바랍니다.
서비스형 사기(Scam-as-a-Service)란 무엇입니까?
많은 사람들이 SaaS(Software-as-a-Service) 개념에 익숙할 것입니다. 암호화 세계에서 SaaS는 또 다른 의미를 갖습니다. 피싱 팀은 Scam-as-a-Service라는 새로운 악성 모델을 발명했습니다. 이 모델은 사기 도구와 서비스를 패키지화하여 다른 범죄자들에게 상용화하여 제공하는 모델입니다. 악명 높은 인페르노 드레이너(Inferno Drainer)가 2022년 11월부터 2023년 11월까지 처음 발표되었습니다. , 사기 금액은 8천만 달러를 초과했습니다. Inferno Drainer는 피싱 웹사이트 프런트엔드, 스마트 계약, 소셜 미디어 계정을 포함하여 기성 피싱 도구와 인프라를 제공하여 구매자가 신속하게 공격을 시작할 수 있도록 지원합니다. SaaS 서비스를 구매하는 피셔는 훔친 돈의 대부분을 가져가고 Inferno Drainer는 10%를 청구합니다. -20% 수수료. 이 모델은 사기에 대한 기술적 한계를 크게 줄입니다. 이로 인해 사이버 범죄가 더욱 효율적이고 대규모화되어 암호화 업계, 특히 보안 인식이 부족하고 표적이 될 가능성이 높은 사용자의 피싱 공격이 확산되었습니다.
서비스형 사기(Scam-as-a-Service)는 어떻게 작동하나요?
SaaS를 소개하기 전에 먼저 일반적인 분산 애플리케이션(DApp)의 워크플로우를 이해할 수 있습니다. 아래 그림에서 볼 수 있듯이 일반적인 DApp은 일반적으로 프런트 엔드 인터페이스(예: 웹 페이지 또는 모바일 애플리케이션)와 블록체인의 스마트 계약으로 구성됩니다. 사용자는 블록체인 지갑을 통해 DApp의 프런트엔드 인터페이스에 연결되고 프런트엔드 페이지에서는 해당 블록체인 트랜잭션을 생성하여 사용자의 지갑으로 보냅니다. 그런 다음 사용자는 블록체인 지갑을 사용하여 거래에 서명하고 승인합니다. 서명이 완료된 후 거래가 블록체인 네트워크로 전송되고 해당 스마트 계약이 호출되어 필요한 기능을 수행합니다.
그렇다면 피싱 공격자는 어떻게 사용자의 자금을 사취합니까? 그 대답은 악의적인 프런트 엔드 인터페이스와 스마트 계약을 설계하여 사용자가 안전하지 않은 작업을 수행하도록 교묘하게 유도한다는 사실에 있습니다. 공격자는 종종 사용자가 악의적인 링크나 버튼을 클릭하도록 유도하여 숨겨진 악성 거래를 승인하도록 속이거나 어떤 경우에는 사용자를 직접 속여 개인 키를 공개하도록 합니다. 사용자가 이러한 악의적인 거래에 서명하거나 개인 키를 노출하면 공격자는 사용자의 자산을 자신의 계정으로 쉽게 전송할 수 있습니다.
가장 일반적인 방법은 다음과 같습니다.
1. 잘 알려진 프로젝트의 프런트엔드 위조: 공격자는 잘 알려진 프로젝트의 공식 웹사이트를 조심스럽게 모방하여 합법적인 것처럼 보이는 프런트엔드 인터페이스를 만들어 사용자가 신뢰할 수 있는 프로젝트와 상호 작용하고 있다고 잘못 믿게 만들어 사용자가 긴장을 풀 수 있도록 합니다. 경계하고, 지갑에 연결하고, 안전하지 않은 실행을 수행합니다. 그림 1에서 볼 수 있듯이 피싱 그룹은 자체 페이지를 bagerDAO의 프런트 엔드 페이지로 위조했습니다. 사용자가 페이지에서 거래를 승인하면 해당 토큰이 공격자의 주소에 인증됩니다.
2. 토큰 에어드랍 사기: 트위터, 디스코드, 텔레그램 및 기타 소셜 미디어에서 피싱 웹사이트를 홍보하며 "무료 에어드롭", "조기 사전 판매", "NFT 무료 발행" 등 매력적인 기회가 있다고 주장합니다. 피해자가 링크를 클릭하게 됩니다. 피싱 웹사이트에 유인된 후 피해자는 자신도 모르게 지갑을 연결하고 악의적인 거래를 승인하는 경우가 많습니다. 그림 2에서 볼 수 있듯이 공격자는 "ZEPE"라는 토큰을 사용자에게 에어드롭하여 사용자가 이를 사용하기 위해 피싱 페이지로 이동하도록 속였습니다. 사용자가 이를 클릭하면 그의 계정에 있는 모든 ETH가 해당 토큰으로 전송됩니다. 사기꾼 주소.
3. 허위 해킹 사건 및 보상 사기: 사이버 범죄자들은 잘 알려진 프로젝트가 현재 해커 공격이나 자산 동결로 인해 사용자에게 보상이나 보상을 제공하고 있다고 주장합니다. 그들은 이러한 거짓 긴급 상황을 이용해 사용자를 피싱 웹사이트로 유인하고 지갑에 연결하도록 속여 궁극적으로 사용자 자금을 훔칩니다.
피싱 사기는 새로운 수법이 아니며 2020년 이전에는 매우 흔했다고 할 수 있습니다. 그러나 SaaS 모델은 지난 2년간 피싱 사기가 강화되는 가장 큰 동인입니다. SaaS가 등장하기 전에는 피싱 공격자는 공격을 시작할 때마다 온체인 스타트업 자금을 준비하고 프런트엔드 웹사이트와 스마트 계약을 만들어야 했습니다. 이러한 피싱 웹사이트의 대부분은 조잡하게 만들어졌지만 세트를 사용하여 재현할 수 있었습니다. 새로운 사기 프로젝트이지만 웹사이트 및 페이지 디자인의 운영 및 유지 관리에는 여전히 일정한 기술적 한계가 필요합니다. Inferno Drainer와 같은 SaaS 도구 제공업체는 피싱 사기에 대한 기술적 장벽을 완전히 제거하여 적절한 기술이 부족한 구매자에게 피싱 웹사이트를 생성 및 호스팅하고 사기 수익금에서 이익을 추출할 수 있는 서비스를 제공합니다.
Inferno Drainer는 어떻게 SaaS 구매자와 전리품을 나누나요?
2024년 5월 21일, Inferno Drainer는 Etherscan에 서명 확인 메시지를 게시하여 그의 복귀를 알리고 새로운 Discord 채널을 만들었습니다.
0x0000db5c8b030ae20308ac975898e09741e70000은 최근 CertiK에서 모니터링한 비정상적인 행위를 보이는 피싱 주소 중 하나입니다. 해당 주소는 유사한 패턴의 거래를 다수 수행한 것으로 확인되었으며, 해당 거래를 분석 및 조사한 결과 해당 거래는 인페르노 드레이너가 피해자를 후크한 것을 감지하고 자금을 이체하고 훔친 물건을 유통시키는 거래인 것으로 판단됩니다. 이 주소를 사용하여 이루어진 거래 중 하나의 예:
https://etherscan.io/tx/0x5cd1eeee1b091888e7b19bc25c99a44a08e80112fdc7a60a88b11ed592483a5f
공격자는 Permit2를 통해 피해자 토큰을 전송합니다.
1. Inferno Drainer는 CREATE2를 통해 컨트랙트를 생성합니다. CREATE2는 스마트 계약을 생성하는 데 사용되는 Ethereum 가상 머신의 명령으로, 기존 CREATE 명령과 비교하여 CREATE2 명령을 사용하면 스마트 계약 바이트코드와 고정 솔트를 기반으로 계약 주소를 미리 계산할 수 있습니다. CREATE2의 장점 피싱 서비스 구매자를 위해 미리 전리품 공유 계약의 주소를 미리 계산하고 피해자가 미끼를 받을 때까지 기다린 후 전리품 공유 계약을 작성하여 토큰 전송을 완료하고, 전리품 공유 작업.
2. 생성된 컨트랙트를 피싱 주소(인페르노 드레이너 서비스 구매자)와 장물 주소로 피해자의 DAI 승인을 요청합니다. 공격자는 위에서 언급한 다양한 피싱 방법을 사용하여 피해자가 의도치 않게 악성 Permit2 메시지에 서명하도록 유도합니다. Permit2를 사용하면 사용자는 지갑과 직접 상호 작용하지 않고도 서명을 통해 토큰 전송을 승인할 수 있습니다. 결과적으로 피해자는 자신이 일반 거래에만 참여하거나 특정 무해한 작업을 승인하고 있다고 잘못 생각하지만 실제로는 자신도 모르게 공격자가 제어하는 주소에 대한 DAI 토큰을 승인하고 있습니다.
3. 전리품 분할을 위해 3,654, 7,005 DAI를 두 주소로 전송하고, 구매자에게 50,255 DAI를 전송하여 전리품 분할을 완료합니다.
현재 피싱 방지 또는 유사한 기능을 구현한 블록체인 지갑이 많다는 점을 언급할 가치가 있습니다. 그러나 많은 지갑의 피싱 방지 기능은 도메인 이름 또는 블록체인 주소 블랙리스트를 통해 구현됩니다. 계약 방식은 이러한 피싱 방지 기능을 어느 정도 우회할 수 있으며 피해자의 경계를 더욱 감소시킬 수 있습니다. 피해자가 악성 거래를 승인한 시점에도 계약이 성립되지 않았기 때문에 주소 분석 및 조사가 불가능했다. 거래에서 낚시 서비스 구매자는 훔친 돈의 82.5%를 가져갔고 인페르노 드레이너는 17.5%를 가져갔습니다.
공개: 피싱 웹사이트를 만들려면 몇 단계를 거쳐야 하나요?
Inferno Drainer가 어떻게 전리품을 나누는지 살펴본 후, 공격자가 SaaS의 도움을 받아 피싱 웹 사이트를 만드는 것이 얼마나 쉬운지 살펴보겠습니다.
첫 번째 단계에서는 Drainer에서 제공하는 TG 채널에 진입한 후 간단한 명령만으로 무료 도메인 이름과 해당 IP 주소가 생성됩니다.
두 번째 단계에서는 로봇이 제공하는 수백 개의 템플릿 중 하나를 선택하고 설치 프로세스에 들어가면 몇 분 안에 괜찮은 인터페이스를 갖춘 피싱 웹사이트가 생성됩니다.
세 번째 단계는 피해자를 찾는 것입니다. 피해자가 웹사이트에 접속하여 페이지에 있는 사기 정보를 믿고 지갑에 연결하여 악의적인 거래를 승인하면 피해자의 자산이 이전됩니다. SaaS의 도움으로 공격자는 단 3단계, 단 몇 분 만에 이러한 피싱 웹사이트를 만들 수 있습니다.
요약 및 영감
암호화폐 세계에서 가장 위협적인 "드레이너" 중 하나인 Inferno Drainer의 복귀는 의심할 여지 없이 업계 사용자에게 엄청난 보안 위험을 가져옵니다. Inferno Drainer는 강력한 기능, 은밀한 공격 방법 및 매우 낮은 범죄 비용에 의존합니다. 피싱 공격을 수행하고 자금을 절도하는 데 사이버 범죄자가 선호하는 도구입니다.
사용자는 암호화폐 거래에 참여할 때 항상 주의를 기울여야 하며 다음 사항을 염두에 두어야 합니다.
- 공짜 점심 같은 것은 없습니다. 의심스러운 무료 에어드롭이나 보상과 같은 "하늘의 파이" 선전을 믿지 말고, 전문적인 감사 서비스를 받은 공식 웹사이트나 프로젝트만 신뢰하십시오.
- 항상 네트워크 링크를 확인하세요. 웹사이트에서 지갑에 연결하기 전에 URL을 주의 깊게 확인하여 잘 알려진 프로젝트를 모방하는지 확인하고 WHOIS 도메인 이름 쿼리 도구를 사용하여 등록 시간이 너무 짧은 웹사이트를 확인해보세요. 등록 시간은 사기 프로젝트일 가능성이 높습니다.
- 개인 정보 보호: 의심스러운 웹사이트나 앱에 니모닉 문구나 개인 키를 제출하지 마십시오. 지갑이 메시지 서명이나 거래 승인을 요청하기 전에 해당 거래가 손실을 초래할 수 있는 허용 또는 승인 거래인지 주의 깊게 확인하십시오. 자금.
- 사기 정보 업데이트에 주의하세요. 정기적으로 경고 정보를 공개하는 CertiK Alert와 같은 공식 소셜 미디어 계정을 팔로우하세요. 실수로 사기 주소로 토큰을 인증한 것을 발견한 경우 적시에 인증을 철회하거나 나머지 자산을 다른 사람에게 양도하십시오. 안전한 주소.
