慢霧：對Solana大規模資產失竊事件的分析及質疑

慢雾科技｜2022-08-04 10:49

2022 年8 月3 日，Solana 公鏈上發生大規模盜幣的事件，大量用戶在不知情的情況下被轉移SOL 和SPL 代幣，慢霧安全團隊對此事件進行跟踪和分析，從鏈上行為到鏈下的應用逐一排查，目前已有新的進展。

背景概述

Slope 錢包團隊邀請慢霧安全團隊一同分析和跟進，經過持續的跟進和分析，Solana foundation 提供的數據顯示近60% 被盜用戶使用Phantom 錢包，30% 左右地址使用Slope 錢包，其餘用戶使用Trust Wallet 等，並且iOS 和Android 版本的應用都有相應的受害者，於是我們開始聚焦分析錢包應用可能的風險點。

分析過程

在分析Slope Wallet（Android, Version: 2.2.2）的時候，發現Slope Wallet（Android, Version: 2.2.2）使用了Sentry 的服務，Sentry 是一個被廣泛應用的服務，Sentry 運行在o7e.slope. finance 域名下，在創建錢包的時候會將助記詞和私鑰等敏感數據發送到https://o7e.slope.finance/api/4/envelope/。

慢霧：對Solana大規模資產失竊事件的分析及質疑

繼續分析Slope Wallet，我們發現Version: >=2.2.0 的包中Sentry 服務會將助記詞發送到"o7e.slope.finance"，而Version: 2.1.3 並沒有發現採集助記詞的行為。

Slope Wallet 歷史版本下載：

https://apkpure.com/cn/slope-wallet/com.wd.wallet/versions

Slope Wallet（Android, >= Version: 2.2.0）是在2022.06.24 及之後發布的，所以受到影響的是2022.06.24 以及之後使用Slope Wallet（Android, >= Version: 2.2.0）的用戶，但是根據部分受害者的反饋並不知道Slope Wallet，也沒有使用Slope Wallet。

慢霧：對Solana大規模資產失竊事件的分析及質疑

那麼按照Solana foundation 統計的數據看，30% 左右受害者地址的助記詞可能被Slope Wallet（Version: >=2.2.0）Sentry 的服務採集發送到了Slope Wallet 的https://o7e.slope.finance /api/4/envelope/ 服務器上。

但是另外60% 被盜用戶使用的是Phantom 錢包，這些受害者是怎樣被盜呢？

在對Phantom（Version:22.07.11_65）錢包進行分析，發現Phantom（Android, Version:22.07.11_65）也有使用Sentry 服務來收集用戶的信息，但並沒有發現明顯的收集助記詞或私鑰的行為。（Phantom Wallet 歷史版本的安全風險慢霧安全團隊還在分析中）