BOMマルウェアがユーザーから1.82百万ドル以上を奪う：SlowMist

2025年2月14日、異なるユーザーがウォレット残高への不正アクセスを報告したことをきっかけに、大規模な暗号通貨窃盗計画が特定された。

セキュリティ企業SlowMistとOKXは、BOMという不正アプリが攻撃の原因であることを発見したことを示す共同レポートをリリースした。

研究により、BOMはユーザーに写真ライブラリとローカルストレージへのアクセスを提供するように欺く意図があったことが判明した。権限が提供されると、アプリケーションは秘密裏に、ウォレットのニーモニックフレーズや秘密鍵を含むスクリーンショットや写真をスキャンした。後者は攻撃者のサーバーに投稿された。

MistTrackによると、マルウェアは少なくとも13,000人のユーザーに影響を与え、盗まれた資金の合計は182万ドル以上となった。攻撃者は、その行動を隠すために、Ethereum、BSC、Polygon、Arbitrum、Baseなどの異なるブロックチェーン上で資金を送金した。

マルウェア分析はデータ収集スキームを示している

OKX Web3セキュリティチームによる分析では、アプリがUniAppクロスプラットフォームフレームワークを使用して構築されていることが示された。これは機密データを抽出するために設計されたアーキテクチャであった。BOMはインストール時にデバイスの写真ギャラリーとローカルファイルへのアクセス権限を要求する。アプリは、権限がアプリを正常に動作させるために必要であると誤って表示している。

アプリのデコンパイルにより、その主な目的がユーザー情報の取得とアップロードにあることが明らかになった。ユーザーがアプリ内の契約ページを訪問すると、デバイスのストレージからメディアファイルをスキャンして収集する機能がアクティブ化された。これらはパッケージ化され、攻撃者が管理する遠隔のサーバーにアップロードされた。

アプリケーション内のコードには、「androidDoingUp」や「uploadBinFa」などの機能があり、それらの唯一の目的はデバイスから画像やビデオをダウンロードし、攻撃者にアップロードすることだった。報告に使用されたURLは、アプリのローカルキャッシュから取得されたドメインを使用していたため、ユーザーがデータの宛先を追跡するのは容易ではなかった。

詐欺アプリには、ランダムな文字列（「adminwkhvjv」）を含む異常な署名サブジェクトがあり、本来のアプリで通常使用される意味のある文字列ではなかった。この側面も、アプリが詐欺であることを示していた。

オンチェーン資金分析は盗まれた資産のフローを追跡する

盗難のブロックチェーン分析により、いくつかのネットワーク上の資金フローが示された。主要な盗難アドレスは、2025年2月12日にアドレスからの0.001 BNBの受取により最初のトランザクションを開始した。

BSCチェーン上では、攻撃者は主にUSDC、USDT、WBTCで約3万7,000ドルの利益を得た。ハッカーはPancakeSwapを頻繁に使用して、異なるトークンをBNBに交換した。現在、このアドレスには611 BNBと、USDT、DOGE、FILなどの約12万ドル相当のトークンがある。

イーサリアムネットワークは最も多くの盗難被害を受け、約28万ドルを失った。これらの資金の大部分は、他のネットワークからのクロスチェーンETH送金によるものだった。攻撃者は100 ETHをバックアップアドレスに預け入れ、そこから別の接続されたアドレスから160 ETHが送金された。全体として、260 ETHがこのアドレスに保持されており、追加の動きはない。

Polygonでは、攻撃者はWBTC、SAND、STGを含む約6万5,000ドル相当のトークンを得た。これらの資金の大部分はOKX-DEXで交換され、ほぼ67,000 POLとなった。さらにArbitrum（3万7,000ドル）とBase（1万2,000ドル）で盗難が観察され、大部分のトークンはETHに交換され、イーサリアムネットワークにブリッジされた。