Kötü amaçlı yazılım Bom saldırı olayı analizi

2025 yılının 14 Şubatında, çok sayıda kullanıcı cüzdan varlıklarının çalındığını bildirdi. Yapılan araştırmalar, çalınan vakaların tümünün kurtarma ifadesi veya özel anahtar sızıntısı özellikleri gösterdiğini ortaya koydu. Daha fazla inceleme, mağdur kullanıcıların çoğunun BOM adlı uygulamayı kurup kullandığını gösterdi. Derinlemesine analiz, bu uygulamanın aslında dikkatlice kamufle edilmiş bir dolandırıcılık yazılımı olduğunu ortaya koydu. Suçlular, bu yazılım aracılığıyla kullanıcıları yetkilendirmeye zorlayarak, kurtarma ifadesi/özel anahtar izinlerini yasadışı olarak elde ediyor ve bunun sonucunda sistematik varlık transferi gerçekleştirip gizleniyorlar.

Kötü Amaçlı Yazılım Analizi

Bir güvenlik ekibi, bazı kullanıcıların telefonlarındaki BOM uygulama apk dosyalarını topladı ve analiz etti ve aşağıdaki sonuca vardı:

1. Bu kötü amaçlı uygulama, sözleşme sayfasına girdikten sonra, çalıştırma gereği ile kullanıcıları yerel dosya ve fotoğraf albümü izinlerini yetkilendirmeye kandırıyor.

2. Yetki alındıktan sonra, uygulama arka planda cihazın fotoğraf albümündeki medya dosyalarını tarar ve toplar, bunları sunucuya yükler. Eğer kullanıcı dosyalarında veya albümünde kurtarma kelimeleri, özel anahtar ile ilgili bilgiler varsa, kötü amaçlı yazılım kullanıcı cüzdan varlıklarını çalmak için toplanan bilgileri kullanabilir.

Analiz sürecinde aşağıdaki şüpheli noktalar tespit edildi:

• Uygulama imzası standartlara uygun değil, konu rastgele bir dizedir.
• AndroidManifest dosyasında çok sayıda hassas izin kaydedildi.
• uniapp kullanarak çoklu platform çerçevesi ile geliştirilmiştir, ana mantık app-service.js dosyasındadır.
• contract sayfası yüklendiğinde cihaz bilgisi başlatma raporu tetiklenir
• Uygulamanın normal çalışması için gerekçe göstererek kullanıcıları fotoğraf albümü izinlerini almaya kandırmak
• İzin alındıktan sonra fotoğraf albümü dosyalarını oku ve paketle yükle

Zincir Üstü Fon Analizi

Zincir üzerindeki izleme analizine göre, ana hırsızlık adresi en az 13.000 kullanıcının fonlarını çaldı ve 1.82 milyon dolar kazanç sağladı.

Bu adresin ilk işlemi 12 Şubat 2025 tarihinde gerçekleşti, başlangıçtaki fon kaynağı "özel anahtarın çalındığı" olarak işaretlenen bir adrese kadar izlenebilir.

Fon akış analizi:

• BSC: Yaklaşık 37.000 dolar kazanç, belirli bir DEX kullanarak bazı tokenleri BNB'ye çevirmek.
• Ethereum: Yaklaşık 280.000 dolar kazanç, bunun büyük kısmı diğer zincirlerden çapraz zincir transferlerinden.
• Polygon: Yaklaşık 3.7-6.5 bin dolar kazanç, çoğu token belirli bir DEX üzerinden POL'e dönüştürüldü.
• Arbitrum: Yaklaşık 37,000 dolar kazanç, token ETH'ye dönüştürüldü ve Ethereum'a köprülenmiştir.
• Base: Yaklaşık 12.000 dolar kazanç, token'lar ETH'ye dönüştürüldü ve Ethereum'a çapraz zincir yapıldı.

Başka bir hacker adresi yaklaşık 650,000 dolar kazandı, birden fazla zinciri kapsıyor, ilgili USDT'ler TRON adresine çapraz zincir üzerinden aktarıldı. Bazı fonlar, daha önce bir ödeme platformu ile etkileşimde bulunmuş olan bir adrese transfer edildi.

![OKX & SlowMist ortak duyurusu｜Bom kötü amaçlı yazılım on binlerce kullanıcıyı etkiledi, 182 milyon dolardan fazla varlık çalındı](