案件背景
2024 年 8 月 20 日，一笔钓鱼交易牟利超过 5400 万稳定代币 DAI。被引流的地址是一个由 Gemini 资助的 vault ，相关的"Maker Vault Owner "地址是 0xf2b8。 网络钓鱼者诱使受害者（金库的原所有者）签署交易，将金库所有者更改为网络钓鱼者控制的地址，然后执行交易，将金库的资金抽走。
- 钓鱼地址：0x0000db5c8b030ae20308ac975898e09741e70000
- 消耗保险库的地址：0x5D4b2A02c59197eB2cAe95A6Df9fE27af60459d4
- Transactions changing the Owner: 0x2805, 0xb721
- 耗尽交易：0xf700
资金流分析
2024 年 8 月 20 日，受害者保险库的原所有者受骗签署了一份交易，将保险库所有者变更为钓鱼者控制的地址。大约五小时后，钓鱼者又发送了一笔交易，进一步将所有者更改为新的地址。在新地址完全控制金库 20 分钟后，它签署了一份交易，从金库中抽走了 5,500 万 DAI。
然后，在两个小时内，所有非法获得的 DAI 代币都被转移到了由钓鱼者控制的下游地址，而最初的地址则没有留下任何东西，金库的资金被抽干。共有六个下游地址直接连接到地址 0x5D4b（即与初始地址相隔一跳）。大部分 DAI 代币（4400 万个）直接转移到下游地址，1000 万个代币被交换为原生代币（3880 个）ETH，然后转移到地址 0x8cc5。交换使用的 DEX 是CoW 协议：GPv2Settlement。交换交易：0x7c63.
从原始地址 0x5D4b 到 1 跳下游地址的虹吸 DAI 资金流图。
将非法资金转移到 1 跳下游地址后，攻击者开始进一步将资金分批转移到更深的地址。在转移过程中，钓鱼者逐渐将下游地址持有的 DAI 换成 ETH。在距离初始地址 4 跳的下游地址，所有被盗 DAI 都已被换成了 ETH。这些以 ETH 形式存在的非法资产随后流入集中式交易所（eXch、KuCoin、ChangeNOW）和跨链桥接器（THORChain、Hop Protocol）。(点击名称查看这些套现地址。）向 eXch 存入非法所得的交易实例：0x2e42, 0xa982, 0x1e1e, 0xb7a9.Examples of transactions moving illicit gains to THORChain: 0x5c06, 0xf824, 0x391e.
部分资金从第 2 层地址（距离初始地址 2 跳）流向第 5 层地址：
在非法所得向深下游地址的转移中，最长的转移路径达到 12 跳，约 8 万美元被转移到交易所KuCoin 17。如下资金流图所示，在 2024 年 8 月 21 日至 8 月 22 日期间，攻击者通过 12 跳的路径向中心化交易所逐步转移了 38 个 ETH。
为了避免大额转账引起过多关注，犯罪者倾向于将大额资金拆分到多个地址，并利用小额转账将资产转移到更深的地址。将 165 万 DAI 拆分成 36 小块，由 1 跳地址 0x860c 处理的示例：
一些相关地址和交易
| 地址 交易 非法资金流动 | :----------------------------------------:| :----------------------------------------------------------:| :----------------------:| | 0x860cf33bdc076f42edbc66c6fec30aa9ee99f073 | 0xa11e, 0x9ef1 | 1,650,000 DAI | | 0xdd6397104d57533e507bd571ac88c4b24852bce9 | 0x7af2, 0x1d45| 36,733,858 dai | 0x8cc568, 0x1d45 | 0x8cc568f3565a7ed44b3b0af8765a7ef67b8bc2dc | 0x7e10, 0x5d08| 3879 eth + 1,825,000 dai | 3879 eth + 1,825,000 dai | 0xca6061c6e5a7c3657297f9cc45ce110dc4d14470 | 0xee0d| 875 ETH | 0x77b9f7e33e42b1f64b915bb27e9a9bca199da83e | 0xf97a, 0xbc5c | 2164 ETH |
资金流概览：
Explore details in MetaSleuth: https://metasleuth.io/result/eth/0x5d4b2a02c59197eb2cae95a6df9fe27af60459d4?source=c81289c1-2bd9-49af-a397-e4cc71990595.
