慢雾：对Solana大规模资产失窃事件的分析及质疑

慢雾科技｜2022-08-04 10:49

2022 年 8 月 3 日，Solana 公链上发生大规模盗币的事件，大量用户在不知情的情况下被转移 SOL 和 SPL 代币，慢雾安全团队对此事件进行跟踪和分析，从链上行为到链下的应用逐一排查，目前已有新的进展。

背景概述

Slope 钱包团队邀请慢雾安全团队一同分析和跟进，经过持续的跟进和分析，Solana foundation 提供的数据显示近 60% 被盗用户使用 Phantom 钱包，30% 左右地址使用 Slope 钱包，其余用户使用 Trust Wallet 等，并且 iOS 和 Android 版本的应用都有相应的受害者，于是我们开始聚焦分析钱包应用可能的风险点。

分析过程

在分析 Slope Wallet（Android, Version: 2.2.2）的时候，发现 Slope Wallet（Android, Version: 2.2.2）使用了 Sentry 的服务，Sentry 是一个被广泛应用的服务，Sentry 运行在 o7e.slope.finance 域名下，在创建钱包的时候会将助记词和私钥等敏感数据发送到 https://o7e.slope.finance/api/4/envelope/。

慢雾：对Solana大规模资产失窃事件的分析及质疑

继续分析 Slope Wallet，我们发现 Version: >=2.2.0 的包中 Sentry 服务会将助记词发送到 "o7e.slope.finance"，而 Version: 2.1.3 并没有发现采集助记词的行为。

Slope Wallet 历史版本下载：

https://apkpure.com/cn/slope-wallet/com.wd.wallet/versions

Slope Wallet（Android, >= Version: 2.2.0）是在 2022.06.24 及之后发布的，所以受到影响的是 2022.06.24 以及之后使用 Slope Wallet（Android, >= Version: 2.2.0）的用户，但是根据部分受害者的反馈并不知道 Slope Wallet，也没有使用 Slope Wallet。

慢雾：对Solana大规模资产失窃事件的分析及质疑

那么按照 Solana foundation 统计的数据看，30% 左右受害者地址的助记词可能被 Slope Wallet（Version: >=2.2.0）Sentry 的服务采集发送到了 Slope Wallet 的 https://o7e.slope.finance/api/4/envelope/ 服务器上。

但是另外 60% 被盗用户使用的是 Phantom 钱包，这些受害者是怎样被盗呢？

在对 Phantom（Version:22.07.11_65）钱包进行分析，发现 Phantom（Android, Version:22.07.11_65）也有使用 Sentry 服务来收集用户的信息，但并没有发现明显的收集助记词或私钥的行为。（Phantom Wallet 历史版本的安全风险慢雾安全团队还在分析中）