恶意软件BOM窃取用户182万美元：Slowmist发布深度分析报告

摘要 OKX Web3安全团队的分析显示，该应用程序是使用Uniapp跨平台框架构建的。这是一种用于提取敏感数据的架构。 BOM要求在安装后访问设备照片库和本地文件。该应用程序误导说，该应用程序正常工作需要权限 。 币圈网报道：

根据多名用户报告未经授权访问其钱包余额的大规模加密货币盗窃事件，Slowmist和OKX于2025年2月14日联合发布了调查报告。

安全公司Slowmist与OKX共同发布的报告显示，一款名为BOM的恶意应用程序是此次攻击的主要元凶。

研究指出，BOM通过诱导用户提供对其照片库和本地存储的访问权限来实施攻击。一旦用户授予权限，该应用便会秘密扫描设备中的屏幕截图或包含钱包助记词、私钥的照片，并将这些敏感信息上传至攻击者控制的服务器。

据Misttrack统计，该恶意软件已影响超过13,000名用户，累计窃取资金达182万美元。攻击者随后将这些资金转移至以太坊、BSC、Polygon、Arbitrum和Base等多个区块链网络，以掩盖其犯罪踪迹。

恶意软件分析揭示数据收集机制

OKX Web3安全团队的分析表明，该应用程序基于Uniapp跨平台框架开发，专门用于提取用户的敏感数据。安装后，BOM会要求访问设备的照片库和本地文件，并误导用户称这是应用正常运行所必需的。

通过对应用程序的解码分析，研究人员发现其核心功能是从用户设备中检索并上传信息。当用户在应用内访问合约页面时，会触发扫描和收集设备存储中媒体文件的功能。这些文件随后被打包并上传至由攻击者管理的远程服务器。

应用程序代码中包含“AndroidDoingup”和“Uploadbinfa”等函数，其唯一目的便是从设备下载图片和视频并上传至攻击者的服务器。此外，报告中提到的URL使用了从应用本地缓存获取的域名，这使得用户难以追踪其数据的去向。

值得一提的是，这款诈骗应用的签名主题异常，采用了随机字母（如“adminwkhvjv”），而非正规应用中常见的有意义标识符。这一特征进一步证实了该应用的欺诈性质。

链上资金分析追踪被盗资产流向

对被盗资金的区块链分析显示，攻击者在多个网络上进行了资金转移。主要盗窃地址于2025年2月12日启动了初始交易，接收了价值约0.001亿美元的资金。

在BSC链上，攻击者获得了约37,000美元的利润，主要涉及USDC、USDT和WBTC等代币。黑客频繁使用PancakeSwap将不同代币兑换为BNB。截至目前，该地址持有611枚BNB，以及价值约120,000美元的代币（包括USDT、Doge和Fil）。

以太坊网络遭受了最大规模的盗窃，损失金额约为280,000美元。其中大部分资金来源于其他网络的跨链ETH转移。攻击者将100枚ETH转入一个备用地址，随后又从另一个关联地址转入160枚ETH。总体而言，该地址目前持有260枚ETH，未有进一步动作。

在Polygon网络上，攻击者窃取了价值约65,000美元的代币，包括WBTC、Sand和STG。其中大部分资金在OKX-DEX上兑换为近67,000枚POL。此外，在Arbitrum（约37,000美元）和Base（约12,000美元）网络上也发现了进一步的盗窃行为，多数代币被兑换为ETH并桥接到以太坊网络。

密码大都会学院：厌倦了市场波动？了解DeFi如何帮助您建立稳定的被动收入。立即注册