朝鮮黑客盜取Munchables 6230萬美元，最終是虛驚一場

原創 | Odaily星球日報

作者 |南枳

Munchables 遭遇內部攻擊

今日凌晨5時，Blast生態項目Munchables在X平台發文表示遭到攻擊。據派盾披露，Munchables鎖定合約疑似問題，導致1.74萬枚ETH（價值約6230萬美元）被盜存在。

Munchables 是 Blast BIG BANG 競賽冠軍項目之一，致使 NFT 質押為載體的鏈游類項目。在協議發展上，用戶可通過質押 1 ETH 或等值代幣來免費鑄造 NFT，鎖倉 30 天，並還有額外激勵機制來促使用戶鎖定更長時間。質押資產可獲得爆炸積分+黃金積分+協議監管代幣等一系列權益。如NFT巨鯨dingaling曾公布其在該協議質押了150枚ETH。

目前該項目已完成Pre-Seed輪融資，Manifold和Mechanism Capital共同領投，融資金額暫未披露。

又現朝鮮平面圖

昨晚攻擊事件發生後，鏈上安全偵探ZachXBT率先發聲指出，攻擊事件與朝鮮開發者相關，並發布了其簡歷。

今晨，慢霧餘弦就 Munchables 遭受攻擊一事在 X 平台發文表示：「爆炸上的這個協議 Munchables 被盜 6250 萬美元，損失真大了。鏈上偵探 ZachXBT 的調查，是因為他們的一位開發者是朝鮮黑客……這是我們至少遇到的第二個啟動 DeFi 類項目遇到的此類情況了。核心開發者長期偽裝潛伏，獲得整個團隊的信任，時機一到就下手了……。」

此後 Aavegotchi 創始人 CoderDan 在 X 平台發文表示：「Aavegotchi 的開發團隊 Pixelcraft Studios 在 2022 年曾短期受雇於 Munchables 攻擊者來進行一些遊戲開發，他技術很粗糙，感覺確實像一個朝鮮黑客，我們在一個月內解僱了他。他還試圖讓我們僱傭他的一位朋友，那個人很可能也是一名黑客。」CoderDan 補充表示，Pixelcraft Studios 當時和他進行了一些視頻通話，但沒有錄下頻率，不確定谷歌是否在內部記錄了所有視頻通話，但那個黑客確實曾露過臉。

最後，CoderDan 向 Munchables 團隊提供了該黑客就職於 Pixelcraft Studios 時的常用地址，希望能夠通過這些線索幫助 Munchables 尋找回資金。

目前，還沒有特別直接的證據證明黑客真實身份，但多方證據均揭示了此次事件背後的朝鮮黑客身影。

為何出現安全事件？

據鏈上分析師@SomaXBT披露，Blast生態被盜項目Munchables以前為節省審計費用，僱傭不知名團隊EntersoftTeam出具審計報告。該團隊的賬號簡介為我們「是一家屢獲殊榮的應用程序安全公司，擁有經過認證的白帽黑客」，但平台僅百餘名關注者。

最新消息，經過 ZachXBT 分析，Munchables 團隊僱傭的四個不同的開發人員可能都是同一個人他們彼此推薦對方做一份工作，並定期轉賬到相同的兩個交易所存款地址，還為各自的錢包充值。

攻擊者突然良心發現？

14時，據鏈上數據分析平台Scopescan下午監測，Munchables攻擊者向某多簽錢包0x 4 D 2 F退還了所有的1.7萬枚ETH，彼時不確定是否為攻擊者退款或者轉移地址。

半小時後，Blast 創始人 Pacman 於 X 平台發布公告，Blast 核心貢獻者已通過定時簽名獲得 9700 萬美元的資金（分別為被盜的 1.74 萬枚 ETH 和協議內剩餘後續取走的 9450 萬美元，目前價值 9600 萬美元）。感謝前 Munchables 開發者選擇最終退還所有資金，且無需任何贖金。Munchables 也轉發此公告表示：「所有用戶資金都是安全的，不會強制執行鎖定，所有與 Blast 相關的的獎勵也將被分配。未來幾天將進行更新。」

同時同時同步受到Munchables攻擊事件影響的Juice也宣布了資金的安全，其所有的wETH均從Munchables已開發者手中取回，Jucie正在與Pacman和Blast協調將wETH轉移回Juice，以便用戶能夠提款。

攻擊者為何突然良心發現退款，背後的故事我們不得而知，前夜其曾通過第三方跨鏈橋Orbiter進行了一筆跨鏈洗幣，但金額僅3 ETH。通過官方跨鏈橋需要14天轉移時間長，而第三方跨鏈橋流動性不足，最終可能難以有效轉移資金從而獲得了協商退款。

結論

歷來各新鏈首發上線時，由於團隊良莠不齊、基礎不全，項目成交量款跑路或受黑客攻擊事件屢見不鮮，早期團隊對成員缺乏被背調、監守自盜的事件設施也時有發生，不能每次都指望攻擊者搖身一變成白帽「良心發現」退款，建議投資者DYOR並嚴格控制投資倉位配比。