6月20日上午8时许，去中心化交易平台Slingshot官方推特账户被黑，并发布虚假的代币空投申领链接，诱骗用户点击，截至目前已导致至少216个用户地址被盗。据进一步了解，攻击者系知名网络犯罪团伙Pink-Drainer.eth，此前该团伙已经采用同类型手法攻击了若干个知名web3项目的社交平台账号。本文将以Slingshot推特账户被盗事件为例，初步分析并揭露Pink-Drainer.eth的盗币及洗钱惯用手法，为后续进一步的调查提供帮助。
假网站投放
本次攻击中，黑客团伙提前制作了Slingshot的高仿网站slingshot[.]money（真实的网站尾缀应为.finance），并在获取目标项目社交平台账号控制权后公开投放，声称进入网站即可申领$SLING代币空投。由于Slingshot长期以来的代币空投预期，大量普通用户第一时间进入了钓鱼网站。
强制授权
用户进入slingshot[.]money后链接钱包，浏览器即唤起交易确认，该交易内容为，向0x6360（Pink-Drainer.eth地址）授予代币交易权限，且关闭后无限弹出。
以苦主0x609a为例，他因此错误向Pink-Drainer.eth授予了某个代币的控制权，并紧接着向两个黑客地址转移了所有代币。
如图所示，由攻击者发起的交易方式为「Transfer From」，而由本人发起的交易则为「Transfer」。值得强调的是，这个过程也同时发生在包含Arbitrum、optimism、BSC等在内的EVM同构链中，大量的ERC20代币被归集到若干个地址。
在获取脏币后，黑客会将代币兑换为对应的主链代币，例如BNB、ARB、OP等，并进一步兑换为ETH，等待跨链。
跨链操作通过Celer Network进行，包括往期攻击事件中的大部分被盗资产兑换的ETH因此跨链到了主网多个地址进行囤积，至此盗币完成。
Slingshot不是第一个被盯上的，此前，Pink Drainer黑客组织攻击了众多知名协议，其中包括OpenAI CTO、Orbiter Finance、Evomos、Pika Protocol等，作案手法如出一辙。Pink Drainer黑客团伙盯上的帐户都拥有许多关注者，在盗取项目的账号权限后，通过发布宣传虚假赠品、假铸币厂、加密货币诈骗和网络钓鱼页面来盗取用户的加密资产。
通过Bitrace加密货币分析平台的追踪可知，2023-02-14 12:14:23至今，仅主网Pink-Drainer.eth就已经执行了至少4486次Transfer From交易，并盗走大量多类型资产，其中部分涉案资金已经流入了中心化交易平台。
而在ScamSniffer公开的dune看板中，也可以看见，截止撰写本文时，已有2848名受害者，总计窃取了价值约3,548,566美元的数字资产，其中Ethereum多达2,895,390美元，Arbitrum多达380,614美元。
回顾往期安全事件不难看出，诸如Pink-Drainer.eth在内的钓鱼犯罪团伙，之所以能够大行其道不断得手，除却加密货币投资者群体对新型的加密货币犯罪手法不了解外，很大程度更在于被攻击项目方本身防范意识不足，官方社交平台账号的安全管理应当在未来得到重点对待。最后如果您或您的用户已经受到损失，请随时联系我们。Bitrace能为您与您的用户提供涉币犯罪事件分析、调查与挽损服务。针对黑客攻击、欺诈、内部犯罪等涉币犯罪事件，我们采用专业的技术手段和丰富的行业经验，帮助您及时发现、调查和解决问题，挽回损失。