10月2日，一名TRON用户失去了对5102539 TRX（约170万美元）的控制。攻击者花了一个月的时间进行社会工程，并将一条命令粘贴到终端上。 这些资金仍在受害者的地址上，但他不能再使用了。攻击者替换了控制帐户的密钥，现在正在等待14天的解除锁定期于10月16日14:16 UTC结束。 它是如何开始的： 它始于9月1日，来自采矿托管业务的一位老联系人的电报消息。他们的聊天可以追溯到2021年，所以一切顺利。该联系人的账户很可能被黑客入侵。 在沉默了近5年后，他写道：“好久不说话了，你好吗？”他发了几条友好的信息，没有要求任何东西，然后一直沉默到9月28日。 接下来，在9月28日，他为长时间的沉默道歉，建议打个电话，并发送了一个链接到谷歌日历预订页面进行“30分钟聊天”。 10月2日，受害者要求早些时候打电话，并建议Yandex Telemost。袭击者表示，他将发送自己的会议链接。它看起来像http://teams.live.com。 在电话中，该链接打开了一个虚假页面，称组织者不允许移动访问。“在你的笔记本电脑上再试一次。”于是受害者移到他的笔记本电脑前，钱包就在那里。 笔记本电脑上的页面卡在“加入会议…”上。攻击者写道，Teams遇到了一些问题。当受害者要求切换到Yandex时，他拒绝了，并表示他的合作伙伴已经在Teams工作了。 大约在同一时间，假页面显示了TeamsFx SDK已被弃用的通知，其中有一个复制按钮和按Win+R、键入cmd、粘贴和按Enter的说明。 在聊天中，攻击者推了同样的东西。他问“你更新SDK了吗？”，说他曾经遇到过同样的问题，SDK更新修复了它，并告诉他将更新命令粘贴到终端中。这是ClickFix攻击。 起初，它不起作用，因为受害者不断地将命令粘贴到Win+R窗口中并收到错误。攻击者发送了显示终端位置的屏幕截图，并写道“单击此处并键入终端”。该命令在13:09和13:12 UTC之间运行，受害者回答“似乎有效”。 在那之后，袭击者一直让他说话。他说他在会议中找不到他，提出将通话时间推迟几个小时，并聊起矿工和监管问题，直到13:32 UTC。然后他安静了下来。 大约40分钟后，事情开始在链上发生。 UTC 14:13:24，使用受害者密钥签名的AccountPermissionUpdate将所有者和活动权限移动到攻击者的密钥。从那以后，受害者就不能从自己的地址签署任何交易。 然后，攻击者撤销了所有委托的能量，并取消了整个赌注。未冻结的TRX只能在14天后提取，所以他必须等待。 555688 TRX从10月16日14:16:00 UTC开始 4546851 TRX从10月16日15:13:30 UTC开始 在那之前，5.1M TRX会留在受害者的地址上，他们都不能移动它。 攻击者也犯了一个错误。更改权限需要花费100 TRX，受害者的地址大约短缺28 TRX。因此，在收购前51秒，他从另一个钱包向那里发送了87个TRX，全部余额。这两笔交易的签署时间相隔42秒，这意味着无论是谁进行了收购，都拥有该钱包的钥匙。 那个钱包不是新的。它自4月以来一直在使用。它接收付款并将资金发送到进行KYC的交易所，并且它与自2020年以来活跃的一组钱包相连。他用一个有历史的钱包为这次袭击买单。 受害者的地址，现在由攻击者控制： TYYDe2Ca7fQapzZg2TZMCBXc3Xb4EbB3EZ 攻击者密钥： TEdNZQAw44xkw9b7KWpfL5SHdB3aLGWt6p 接管交易： c608edc5b3dfd6a15f82715edb3cb750aabb362a080d990cddfb5994f41ee05 如果您在TRON上运行交易所、掉期服务、网桥或场外交易台，请标记这些。 关于攻击者的更多细节。 -假冒域名teans lives[.]com于10月1日05:53 UTC注册，大约在他发送呼叫链接前31小时。它现在在客户端上。 -带有“TeamsFx SDK”故事的假团队页面与4月份与朝鲜组织UNC1069公开链接的活动中使用的诱饵相同。这并不意味着是他们，诱饵是一样的。 对攻击者。你花了一个月的时间赢得信任，现在你正在等待解锁。你还用一个有历史的钱包支付了收购费用。 整个聊天、你发送的每个截图、你的域名和每个链上步骤都有记录。该地址在反洗钱筛查中被标记，并与交易所、掉期服务和网桥共享。 危险信号： -一位老联系人突然回来，想打个电话 -对方拒绝你的会议链接，坚持使用他们的链接 -会议页面显示不支持移动设备，并要求您切换到笔记本电脑 -任何页面都会要求您将命令粘贴到终端或Win+R中 如果你已经运行了这样的东西，假设设备受到了损害，并立即从干净的设备中转移资金。在这种情况下，攻击者需要大约一个小时。