7 月 18 日，印度加密货币交易平台 WazirX 遭遇黑客攻击，其以太坊网络上的多签钱包被盗。总计 2.349 亿美元已转移到新地址，每笔交易的调用者均由 Tornado Cash 提供资金。
图源：Lookonchain
资金流向追踪
地址检测
据链上分析师余烬监测，这些被盗资产正在通过 0x35f…5ca (WazirX Exploiter 2) 和 0x90c…1fd (WazirX Exploiter 3) 地址被出售换成 ETH，然后把换得的 ETH 转移至 0x361…092 (WazirX Exploiter 4) 地址。
被盗资产存放地址 (WazirX Exploiter 1)：
https://debank.com/profile/0x04b21735e93fa3f8df70e2da89e6922616891a88/history
链上出售资产地址 (WazirX Exploiter 2/3)：
https://debank.com/profile/0x35febc10112302e0d69f35f42cce85816f8745ca
https://debank.com/profile/0x90ca792206ed7ee9bc9da0d0df981fc5619f91fd
出售资产换得 ETH 存放地址 (WazirX Exploiter 4)：
https://debank.com/profile/0x361384e2761150170d349924a28d965f0dd3f092
被盗资产转移路径，图源：余烬
资产抛售情况追踪
2024-07-18 16:19
或受「WazirX 被盗资产涉及价值超 1 亿美元 SHIB」消息影响，SHIB 短时跌超 5%，暂报 0.00001758 美元。
2024-07-18 16:41
WazirX 攻击者已开始抛售 SHIB，目前已售出价值 61.8 万美元的 SHIB，仍剩余价值 9545 万美元的 SHIB。
调查进展
7 月 18 日，据 Beosin Alert 检测，预警发现印度交易平台 WazirX 被攻击，攻击者获取到交易平台多签钱包管理员的签名数据，修改钱包的逻辑合约，让钱包执行错误的逻辑，来盗取资产。
攻击者地址：0x6eedf92fb92dd68a270c3205e96dccc527728066；
被攻击地址：0x27fd43babfbe83a81d14665b1a6fb8030a60c9b4。
基于攻击者的攻击行为，推测原因为多签钱包的管理员私钥泄露，Beosin 将攻击原因简析如下：
1、攻击者部署攻击合约：0x27fd43babfbe83a81d14665b1a6fb8030a60c9b4。该合约的功能是提取本合约指定的代币资产
2、攻击者获取到 WazirX 多签钱包管理员的签名数据，将钱包的逻辑合约修改为已经部署好的攻击合约。对应交易为：https://etherscan.io/tx/0x48164d3adbab78c2cb9876f6e17f88e321097fcd14cadd57556866e4ef3e185d3、攻击者向 WazirX 多签钱包提交提取代币交易，由于代理模式的机制，钱包合约会利用 delegatecall 调用攻击合约的相关函数，转走钱包代币。
BlockBeats 将紧盯链上动态，为读者及时提供被盗资产出售情况以及交易平台后续反馈。
