Monkey Drainer 钓鱼团伙技术深度剖析：从域名供应链到链上资金追踪

查找币:余老师 | 学术研究 | 2026-05-10 16:06 | 1 次浏览 | 0 条回复

查找币学术研究安全研究 Web3安全区块链安全

## 事件概述 2023年2月8日，查找币安全团队通过合作伙伴ScamSniffer获取到一条关键安全情报：一名受害者因长期活跃的网络钓鱼地址损失超过1,200,000美元的USDC。这起事件将我们的视线再次聚焦到一个名为Monkey Drainer的NFT钓鱼团伙身上。 **关键地址**： - 黑客地址：`0x69420e2b4ef22d935a4e2c194bbf3a2f02f27be1` - 获利地址：`0x9cdce76c8d7962741b9f42bcea47b723c593efff` 事实上，早在2022年12月24日，查找币团队就已首次全球披露了“朝鲜APT大规模NFT钓鱼分析”。而本次事件，与我们长期追踪的Monkey Drainer团伙存在直接关联。本文将基于部分钓鱼素材及钱包地址，对该团伙的技术架构进行深度拆解。 ## 钓鱼基础设施分析 ### 域名注册与部署模式通过分析，Monkey Drainer的主要钓鱼手段是通过虚假大V推特账号、Discord社群发布伪造的NFT Mint链接。这些NFT甚至在OpenSea、X2Y2、Rarible等主流平台上拥有真实交易记录。该团伙共涉及**2000余个钓鱼域名**。域名注册信息显示，最早的注册记录可追溯至4个月前，呈现明显的周期性部署特征。 **初始攻击向量**： 1. 虚假推特账号推广钓鱼链接 2. 首个NFT钓鱼域名：`mechaapesnft[.]art` ### 特征关联与供应链分析通过特征组合关联，我们发现以下关键模式： - 域名注册时间集中 - 使用相似DNS解析服务 - 共享同一套SSL证书配置 - 页面模板高度相似利用ZoomEye进行全球扫描，我们统计到黑客同时运行着大量钓鱼站点。最新案例中，甚至出现了伪装成Arbitrum空投的钓鱼站点。 **关键发现**：与朝鲜黑客组织不同，Monkey Drainer并未为每个站点单独部署受害者访问统计功能，而是采用“批量部署、简单粗暴”的策略。这强烈暗示该团伙使用了**钓鱼模板批量自动化部署**方案。进一步追踪供应链，我们发现Monkey Drainer使用的模板来源于现有灰色产业链。这些模板提供者甚至公开进行“广告售卖”，功能涵盖： - 自动签名劫持 - 实时转账监控 - 多链适配 - 反检测机制 ## 核心钓鱼技术解析 ### 签名劫持机制升级结合查找币此前发布的“NFT零元购钓鱼”分析，我们对本次事件的核心代码进行了深度逆向。 **核心攻击逻辑**： 1. **代码混淆**：采用多层混淆技术规避静态检测 2. **Seaport协议劫持**：诱导用户对Seaport交易进行签名 3. **Permit机制滥用**：利用ERC-20的Permit离线授权签名机制 4. **USDC授权窃取**：通过伪造的Permit签名获取USDC转账权限随机选取一个测试站点，其界面伪装为“SecurityUpdate”签名请求。通过Rabby钱包的数据解析可视化功能，可以清晰看到签名内容的异常。 ### 与旧版钓鱼的对比相较于2022年早期的NFT零元购钓鱼，Monkey Drainer团伙实现了以下技术升级： | 特性 | 旧版钓鱼 | Monkey Drainer | |------|----------|----------------| | 签名类型 | 单一Approve | 多协议混合签名 | | 授权机制 | 链上授权 | 离线Permit授权 | | 反检测能力 | 弱 | 强（代码混淆） | | 目标资产 | NFT | NFT+代币 | ## 链上资金追踪与数据洞察 ### 恶意地址图谱基于上述2000余个钓鱼域名及查找币AML恶意地址库，我们共识别出**1708个与Monkey Drainer团伙相关的恶意地址**，其中87个为初始钓鱼地址。所有地址均已录入查找币追踪系统及AML恶意地址库。 **样本交易哈希**： - `0x3f2ac9758a6c91b08406082b65be6f2758a9b37c7626b11f24ce214181cbcd99` - `0x18bed0d26634f7856ce75b0d25dd9652d94f705fcdcbf6b7b1e24787e127aee0` - `0xc22800042e660c2ac360896fc5de06ed48aa723185c7733099b76d82de37b29c` ### 统计分析结论 **时间维度**： - 最早活跃时间：2022年8月19日 - 近期活跃状态：仍在持续活动 **获利规模**：通过钓鱼手段，该团伙累计获利约**数千万美元**，主要资产形式为ETH、USDC及蓝筹NFT。 **资金流向**： - 70%资金通过混币器（Tornado Cash等）进行洗钱 - 20%资金转移至中心化交易所 - 10%资金留存于链上钱包 ## 防御建议与安全实践 ### 用户层面 1. **交易解析机制**：使用支持交易解析的钱包（如Rabby），详细审查每笔交易的构造内容 2. **预执行机制**：利用交易预执行功能，模拟交易广播后的实际效果 3. **地址验证**：警惕尾号相同的诈骗地址，建立常用地址白名单 4. **AML合规检查**：转账前使用AML工具检查目标地址风险等级 ### 项目方层面 1. **安全审计**：定期进行智能合约安全审计，降低攻击面 2. **威胁情报共享**：打破数据孤岛，跨机构关联识别洗钱团伙 3. **实时阻断**：及时将恶意地址加入黑名单，阻断资金转移 ## 结语 Monkey Drainer团伙的技术演进，反映了区块链钓鱼攻击正在从“广撒网”向“精准打击”转变。其采用的Permit离线授权、多协议签名劫持等手法，对用户资产安全构成严重威胁。查找币安全团队将持续追踪此类威胁，并通过查找币追踪系统（已积累2亿+地址标签、超10万威胁情报数据、9千万风险地址）为行业提供反洗钱支持。我们呼吁各方共同努力，构建更安全的区块链生态。 --- **本文由查找币安全团队整理发布**

Monkey Drainer 钓鱼团伙技术深度剖析：从域名供应链到链上资金追踪

查找币安全研究院

主题延伸阅读