“Monkey Drainer”在 CryptoPunks、Otherside Ethereum NFT 中窃取了 80 万美元

在一系列从毫无戒心的用户钱包中窃取价值数百万美元的以太坊 NFT 的加密骗局中，被称为“Monkey Drainer”的未知假名实体声称拥有一批有价值的CryptoPunks和Otherside NFT。 

自称“链上侦探”的ZachXBT是一位匿名 Twitter 用户，曾发布过有关加密诈骗和有争议的数据的历史，周四晚上分享说 Monkey Drainer从这两个有价值的 Yuga Labs 收藏中窃取了价值 520 ETH 的NFT ，这算下来大约是 800,000 美元。

一些 NFT 在多个钱包之间汇集并最终出售。根据通过Etherscan可见的公共区块链数据，攻击者随后通过 Tornado Cash 转移了 400 ETH，这是一种用于以太坊的加密隐私工具，于 8 月被美国政府批准，公民不能合法使用。

上周，ZachXBT 报道说 Monkey Drainer 从签署恶意交易的毫无戒心的用户那里拿走了价值约700 ETH的资产，认为他们选择了免费的 NFT 空投。但是，它们实际上是通过假冒 Twitter 帐户推广的骗局。当受害者点击链接并连接他们的钱包时，他们的资产就消失了。

ZachXBT 此前估计，Monkey Drainer 窃取了价值超过350 万美元的加密货币和 NFT。周三， Monkey Drainer 还被用于通过被劫持的Web3游戏初创公司 Limit Break的首席执行官Gabriel Leydon 的 Twitter 帐户实施的漏洞利用。

加上本周的袭击事件，估计总损失超过 430 万美元。但是，谁，或者什么，是 Monkey Drainer？虽然下水者的身份仍然未知，但 ZachXBT 通过 Twitter DM 告诉Decrypt，猴子下水者“可能是一个人”。

他说：“Monkey Drainer 很可能是一种 [as-a-service] 情况的人。” “不过，很多人都是顾客。”

换句话说，其他方可能正在使用 Monkey Drainer 的剧本来实施更广泛的骗局。为了使 Monkey Drainer 身份的模糊性进一步复杂化，涌入的 Twitter 机器人还用“MONKEY DRAINER BEST – Team Monkey”这一短语攻击了 ZachXBT 关于最新 NFT 盗窃的帖子。 

奇怪的垃圾评论暗示 Monkey Drainer 拥有某种“团队”，但目前尚不清楚 Monkey Drainer 究竟是一个人、一群附属机构，还是一群使用 Monkey Drainer 的“工具包”谋取不义之财的假名陌生人.

Web3 安全公司 Wallet Guard 同样认为 Monkey Drainer 是一种恶意软件即服务，这意味着“drainer”智能合约的创建者——即为 NFT 和去中心化应用程序提供动力的代码——正在向其他人出售他们的网络钓鱼工具包。 

“Monkey 以 30% 的攻击削减出售他的排水器，”ZachXBT 发推文说。“所以其他骗子带着这些账户来找他。”

但是，Web3 安全公司Halborn的首席运营官 David Schwed并不认为这些攻击特别复杂——尽管流失工具仍在吸引大量受害者。

“这些攻击有些简单，并且通过一些适当的网络卫生，NFT 持有者可以轻松保护自己，”Schwed通过电子邮件告诉Decrypt 。“为了使骗局起作用，NFT 持有者必须授予恶意行为者访问权限以完成交易。”

在 2022 年期间， NFT 领域的这些骗局激增。许多是通过被黑的社交媒体帐户共享的，这表明收藏家认为是合法的 NFT 铸币或空投索赔。相反，他们在不知不觉中向攻击者提供了对他们钱包资产的完全访问权限，并且通常在他们意识到之前就已经刷了他们的 NFT 和加密货币。

Monkey Drainer 目前可能在以太坊网络上肆无忌惮，但至少有一名道德黑客正试图减缓其混乱局面。

加密浏览器扩展 PocketUniverse 报告称，名为“blockdev”的 Discord 用户已经能够成功阻止 Monkey Drainer 通过攻击排水器的 API 密钥发起的一些排水交易。尽管如此，Monkey Drainer 的攻击所造成的损失仍在堆积。

ZachXBT 告诉Decrypt，他认为 Monkey Drainer 最早是在今年 8 月左右开始的，而创建该漏洞利用的人可能会面临来自其他希望进入同一种球拍的骗子的竞争。

“我想，从长远来看，他们需要不断更新 Monkey Drainer 以保持竞争力，否则新方法将获得市场份额，”当被问及是否可以停止下水器时，Zach 回答道。