2020年9月25日、ソーシャルメディアは、Tomatos.financeから10,000 DAIが盗まれたと報告しました。この詐欺の主な手口は、エアドロップによってユーザーに許可を与えるよう誘導し、トークンを直接転送することです。エアドロップは詐欺であり、トークンはまだ受け取っていません。 Tomatos.fi は流動性マイニング プロジェクトであり、中国チームによるものと思われます。

複数のセキュリティ会社に確認したところ、本稿執筆時点で数名のユーザーが Tomatos.finance によってステーブルコインを盗まれ、巨額の損失を被りました。

Wu 氏は、ブロックチェーンが Tomatos.finance のハッカーに遭遇したユーザーの 1 人 (ユーザー A と呼びます) にインタビューして、事件全体を検証したと述べました。

ユーザー A はトマトにログインし、事件の数日前に imtoken ウォレットの使用を承認するために資金を調達しました。北京時間2020年9月26日23時頃、ハッカーはimtokenにログインしてDAIを入金した後、Tomatos.financeコントラクトを作成し、DAIコントラクトを呼び出し、ウォレットに送金してからDAIコントラクトに送金するまでに約10分かかりました。ハッカー。ウォレットの背景は無制限の設定です。ユーザー A は約 1,350,000 DAI を失いました。 。

事件後、ユーザーは Tomatos.finance の Web サイトを開けることができず、Twitter アカウントはもう存在しませんでしたが、電報はまだ開いていることに気づきました。

副題

0x917a417D938B9F9E6ae7F9e5253FB6DE410343e3

プロセス全体を振り返ってみると、ハッカーはどのようにして Defi を使ってコインを洗浄しているのでしょうか?

1. DAI は、ブラックリストに登録されず、凍結されない唯一の安定通貨です。ハッカーは、ユーザー A のウォレットから 700,000 DAI、600,000 DAI、および 5,000 DAI をアドレス 0x917a417D938B9F9E6ae7F9e5253FB6DE410343e3 に送金しました。

ハッシュ レコードは次のとおりです。

0xc16a25e3745c6025363b2b607e9cb0105bab85f1cee225a52bddd4fe6dd27621

0xa8aaf959d79805e19e4aebd0ba279cb2078b35b5ec3a38bf01549651f116b512

0x5221c09d7a15fb6329f4465464e0a715bbd4bd33214606791399eefae8c53bdb

2. ハッカーは DAI を Uniswap に転送し、DAI の一部を 500,358.72 USDT に変換し、その後 494,057.53 DAI と 500,358.72 USDT を使用して Uniswap V2: DAI-USDT LP 取引ペアを通じて AMM 流動性を提供し、手数料を獲得しました。

3. ハッカーは手持ちのすべてのステーブルコインを ETH に交換し、Tornado Cash で洗浄しました。

ユーザーAは事件発生後、速やかに業界各所の支援を得て、すでに警察に通報し、その後のハッカー人物像の特定を行った。ウー氏は、ブロックチェーンはトマト.フィ関連のイベントの進捗状況を引き続き追跡し、できるだけ早く詳細を報告すると述べた。

27日、KuCoinのコイン泥棒らもUniswapを通じてアルトコインをETHに取引したが、MatchaやBinanceなどの集中型取引所はコイン泥棒らの資金の一部を凍結したため、分散型取引所での取引を模索している。コインを混ぜます。分散型取引所には、そのような悪意のある行為を制御する権利はありません。以前、米国SECがUniswapに対する調査を開始したという噂があり、このハッキング事件における分散型取引所の役割が規制当局の注目を集める可能性があると考える人もいた。 (著者: 21 Research、編集者: Colin Wu)