不正資金フローのケーススタディ55Mフィッシング

##事件の背景

2024年8月20日、フィッシング取引により5,400万以上の安定トークンDAIが利益を得た。流出したアドレスはGeminiによって資金提供されたvaultであり、関連する「Maker Vault Owner」アドレスは0xf2b8であった。フィッシャーは被害者（保管庫の元の所有者）をおびき寄せ、保管庫の所有者をフィッシャーの管理するアドレスに変更するためにトランザクションに署名させ、その後トランザクションを実行して保管庫の資金を流出させた。

フィッシングアドレス0x0000db5c8b030ae20308ac975898e09741e70000
保管庫から資金を引き出すアドレス: 0x5D4b2A02c59197eB2cAe95A6Df9fE27af60459d4
Transactions changing the Owner: 0x2805, 0xb721
排出トランザクション：0xf700

マネーフロー分析

2024年8月20日、被害金庫の元の所有者は、フィッシャーが管理するアドレスに金庫の所有者を変更する取引に署名するようだまされた。約5時間後、フィッシャーはさらに新しいアドレスに所有者を変更するトランザクションを送信した。新しいアドレスが保管庫を完全に管理するようになってから20分後、保管庫から55M DAIを吸い上げたトランザクションに署名した。

それから2時間以内に、不正に取得されたDAIトークンはすべてフィッシャーが管理するダウンストリームアドレスに転送され、保管庫から流出した最初のアドレスには何も残らない。アドレス0x5D4bに直接接続されているダウンストリームアドレスは合計6つある（つまり、初期アドレスから1ホップ離れている）。DAIトークンの大半（44M）はダウンストリームアドレスに直接転送され、10Mはネイティブトークン（3880）ETHとスワップされた後、アドレス0x8cc5に移動される。スワップに使用されるDEXはCoW Protocol: GPv2Settlementである。スワップ・トランザクション：0x7c63.

元のアドレス0x5D4bから1ホップのダウンストリームアドレスへのサイフォンDAIの資金フローグラフ。

(https://blocksec-static-resources.s3.us-east-1.amazonaws.com/assets/frontend/blocksec-strapi-online/54_M1_662d664e5c.png)

不正な資金を1ホップのダウンストリームアドレスに転送した後、攻撃者はさらに深いアドレスに資金を一括して移動し始めた。送金プロセス中、フィッシャーはダウンストリームアドレスが保有するDAIを徐々にETHにスワップしていった。最初のアドレスから4ホップ離れた下流のアドレスでは、盗まれたDAIはすでにすべてETHにスワップされていた。これらの不正な資産は、ETHの形で中央集権的な取引所（eXch、KuCoin、ChangeNOW）やクロスチェーンブリッジ（THORChain、Hop Protocol）に流れ込んだ。(不正な利益をeXchに預ける取引の例：0x2e42, 0xa982, 0x1e1e, 0xb7a9.Examples of transactions moving illicit gains to THORChain: 0x5c06, 0xf824, 0x391e.