首頁

Partnered With:

OKX&SlowMist聯合發布｜Bom惡意軟體席捲上萬用戶，盜取資產超182萬美元

閱讀本文需 20 分鐘

OKX 與 SlowMist 揭露 BOM 惡意應用程式竊取助記詞，致 1.3 萬用戶損失超 182 萬美元，團隊建議用戶謹慎下載軟體，妥善儲存私鑰，並使用鏈上追蹤工具提升安全防護。

原文來源：OKX

2025 年 2 月 14 日，多位使用者集中回饋錢包資產被竊。經鏈上資料分析，被竊案例均符合助記詞/私鑰洩漏的特徵。進一步回訪受害用戶後發現，他們大多曾安裝並使用名為 BOM 的應用程式。深入調查表明，該應用實為精心偽裝的詐騙軟體，不法分子透過該軟體誘導用戶授權後，非法獲取助記詞/私鑰權限，進而實施系統性資產轉移並隱匿。因此，SlowMist AML 團隊和 OKX Web3 安全團隊對此惡意軟體的作案手法進行調查和揭露，並進行鏈上追蹤分析，希望給更多使用者提供安全警示與建議。

一、惡意軟體分析（OKX）

經過用戶同意，OKX Web3 安全團隊收集了部分用戶上的細節

（一）結論

該惡意 app 進入合約頁面後，以應用程式運作需要為由，欺騙使用者授權本機檔案以及相簿權限。

取得使用者授權後，該應用程式在後台掃描並收集裝置相簿中的媒體文件，打包並上傳至服務端。如果用戶文件或相簿中有儲存助記詞、私鑰相關資訊，不法分子有可能利用該應用程式收集到的相關資訊盜取用戶錢包資產。

（二）分析過程

1、樣本初步分析

1）應用簽名分析

隨機

2）惡意權限分析

在該應用程式的 AndroidManifest 檔案中可以看到，註冊了大量權限。其中包含一些資訊敏感的權限，包括讀寫本機檔案、讀取媒體檔案、相簿等。

2、動態分析

由於分析時 app 後端介面服務已下線，app 無法正常運行，暫無法進行動態分析。

3、反編譯分析

反編譯後發現，該應用程式中 dex 中的類別數量非常少，針對這些類別進行了程式碼層面的靜態分析。

其主要邏輯為解密一些文件，並載入 application：

在 uniapp 框架下開發的應用程式的主要邏輯在產物文件 app-service. 中，我們從關鍵代碼

1）觸發入口

在註冊各個頁面的入口處，找到了名為 contract 頁面的入口

2) 裝置資訊初始化上報

contract 頁面載入後的回呼 onLoad() 會呼叫到 doContract()

在 doContract() 中會呼叫 initUploadData()

initUploadData() 中，會先判斷網路情況，同時也會判斷圖片和影片清單是否為空。最後呼叫回呼 e()

回呼 e() 是 getAllAndIOS()，

在 Android 上，同樣先判斷和申請相簿權限。

4）收集讀取相簿檔案

然後在 androidDoingUp 中讀取圖片和視訊包裝。

5）上傳相簿檔案

最後在 uploadBinFa()、DuploadZipBinDia(p>

最後在 uploadBinFa()、DuploadZipBinDia(p> 上傳的

iOS No.

6）上傳介面

該介面的 domain 來自 uniapp 的本機快取。

找不到寫入快取的程式碼，可能被加密混淆後存在於 app-confusion.js 中，在一次歷史運行時於應用程式快取中看到該 domain。

二、鏈上資金分析（SlowMist）

根據 SlowMist AML 洗錢地址的工具上追蹤和反盜A2f507238b0A684d03EAE205aab) 已盜取至少 13,000 名用戶的資金，獲利超 182 萬美元。

（https://dune.com/queries/4721460）

>該地址 0x49aDd3E8329f2A2f507238b0A684d03EAE205aab 首筆交易出現在 2025 年 2 月 12 日，由地址 0x9AEf1CA082c17f9D52Aa98caaD52Aa98ca

分析地址 0x9AEf1CA082c17f9D52Aa98ca861b50c776dECC35，該地址首付於其 2025 月 2025 月25 月 25 月。 -盜取私鑰」的位址 0x71552085c854EeF431EE55Da5B024F9d845EC976：

238b0A684d03EAE205aab的資金流向：

BSC：獲利約 3.7 萬美元，包括 USDC, USDT, WBTC 等幣種，常使用 PancakeSwap 將部分代幣換成 BNB：

Ethereum：獲利約 28 萬美元，大部分來自其他鏈跨鏈轉入的 ETH，接著轉移 100 ETH 到 0x74360646 6e0，該地址也收到了上述地址 0x71552085c854EeF431EE55Da5B024F9d845EC976 轉入的 160 ETH，共 260 ETH 暫未轉出。

Polygon：獲利約 3.7 或 6.5 萬美元，包含 WBTC, SAND, STG 等幣種，大部分代幣已p>

Arbitrum：獲利約 3.7 萬美元，包括 USDC, USDT, WBTC 等幣種，代幣兌換為 ETH，共 14 ETH 經由 OKX-DEX 跨鏈至 Ethereum：

駭客地址 0xcb6573E878d1510212e84a85D4f93Fd5494f6EA0 首筆交易出現在 2025 年 2 月 13 日，獲利約 605 萬美元，FWBdefiS7575 月 T23245325454245457p jqtTRxTCsdDx：

位址 TFW52pZ3GPPUNW847rdefZjqtTRxTCsdDx 83,000 USDT 轉到地址TZJiMbiqBBxDXhZXbrtyTYZjVDA2jd4eus 未轉出，剩餘 331,950 USDT 轉到曾與 Huionepay 交互過的地址 THKqT6PybrzcxkpFBGSPyE11kemRNRmDDz。