吴说作者 | Colin Wu

你的币安安卓 APP 的一切都是真实的,可以正常登录、交易,只有一个地方是假的:那就是 USDT 的转账地址。当你想向币安转入一笔 USDT 时,这笔钱已经转入了黑客的钱包。

这并非天方夜谭,近期类似的事件已经出现。安全起见,建议用户请快速检查你的所有涉及财产的币圈安卓 APP,如非官网下载的务必删除。

“币圈小胡”10月27日描述了事情的全过程:2022年10月24日,我准备从狐狸钱包转5个ETH到币安APP出金,打开币安APP(手机是华为荣耀),调出收款地址二维码(ERC20),使用小狐狸钱包(电脑版chrome插件)扫码,核对地址,转账。几分钟后,我查看币安APP,发现没有到账,心想可能是网络拥堵了,又过了几个小时,还是没有到账,我有点怀疑了。于是我联系客服,客服让我提交了转账的hash,我提交了,但是客服说我的充值地址并不属于币安的任何用户。

https://twitter.com/hu94286743/status/1585505751325634560

另一名用户 kongkong 描述:朋友从OK提U到币安,第一笔到账了,第二笔5000多U,等了半个多小时都没到账。最后联系币安App客服,说收U的trc20地址不是币安用户的地址,U找不回了。

https://twitter.com/crptokongkong/status/1585831217681018880

吴说分析发现,根据链上数据统计,虚假币安 APP 的黑客地址之一 TN9L…NUz9 近一个月来共收款超过 50 万 USDT,收款交易数量近 400 笔。

https://tronscan.org/#/address/TN9LTR5Yn63ha8undsJgQEKmnx9w9uNUz9/transfers

币安官方人员回复,1.建议访问使用谷歌无痕模式访问官网2. 进行资产充值时,比较app上显示的充值地址和电脑网页端显示的充值地址是否相同 3. 进行资产提币时,确认提币输入的地址和邮件通知的地址是否相同4. 确认地址无误后,可以先进行一笔小额充提。

安全人士指出,核心原因是恶意代码被精准植入了币安 APP。币安方面应该大范围要求用户去官网重新下载最新的 APP,尤其是安卓用户。而类似的问题也很有可能发生在下载其他交易所 APP 的用户上。与其他盗币方式不同,这种盗币方式不需要进行例如身份验证器、短信、邮箱等验证。由于中文世界全面打击相关 APP,导致难以在传统渠道如应用市场下载,很容易下载到虚假 APP。

慢雾安全团队对吴说区块链解释:APP 在重新打包后,再把币安 APP 上架相关的下载站,用户一旦安装假币安 APP,假币安 APP 在用户登录等功能并没有改变,恶意代码功能位于用户充值时。当用户切换到充值时,触发恶意代码规则,替换用户充值地址为恶意地址。慢雾安全团队表示,切忌使用搜索引擎寻找安卓 APP,例如在百度搜索“币安APP下载”,基本全是虚假 APP,一定要在官网网站下载 APP。上述两位用户的共同特征就是:通过搜索下载APP,使用安卓手机。