撰文: 耀

背景

近日有受害者聯繫慢霧安全團隊，其因使用在線編程平臺 Replit 創建 Atomicals 協議錢包並分批打入 ATOM（Atomicals 協議 mint 的 ARC20 代幣），導致被盜走 90,000 個 ATOM。據受害者描述，私鑰 / 助記詞是因在網頁上覆制粘貼而洩漏。

Replit 創建錢包分析

atomicals-js (https://github.com/atomicals/atomicals-js) 是由 Atomicals 官方開發併發布在 Github 上的命令行接口和 JavaScript 庫，方便用戶使用 JavaScript 和 Atomicals 進行交互。

Replit 是一個知名的在線編程平臺，其 Web 端是一個在線的 IDE，支持 Python、JavaScript 等多種編程語言，具有直接在瀏覽器中編寫代碼，快速啟動項目，代碼共享等功能。

在微博、推特、YouTube 等平臺上有許多 ARC20 錢包註冊教程：

然而其中有些教程是講解如何使用 Replit 在線部署 atomicals-js 項目來生成錢包，以及如何轉入 ATOM ARC20 代幣等。

(https://weibo.com/ttarticle/p/show?id=2309404950524427632902)

類似的教程雖不侷限於 ARC20 打新教程，但卻也是推薦使用 Replit 平臺。

由於 Replit 平臺的公開性，在其上部署的代碼均是公開的，允許所有人訪問。atomicals-js 項目部署運行後會在項目目錄生成一個 wallet.json 文件，這個文件包含了如生成的助記詞、私鑰以及地址等敏感信息。

值得注意的是，通過簡單搜索或者利用 Google Hacking 等技術，可以輕易地發現使用了 atomicals-js 並在 Replit 上運行的項目，進而找到包含 wallet.json 文件的案例。

因此，依據這些所謂的教程創建錢包是存在巨大風險的，應該避免在公開可訪問的平臺上運行此類包含敏感信息的代碼，尤其是涉及加密貨幣錢包或私鑰的情況，應該選擇更加安全可靠的環境來生成和管理加密貨幣錢包。

惡意地址分析

使用 MistTrack 分析發現，受害者 9 月 23 日轉入了多筆 ATOM（據受害者描述有 98,000 個）到創建的 ARC20 錢包地址 bc1pt046u0mew4yq83ftwrp3eqfalvf8d6g6lncnmnf3l4zaaalpl54qwvxuqp 中，而這些代幣在 9 月 24 日就被轉入了黑客的地址 bc1psanyvngxqgwxcssfwryl8mva7em4pmp37jcck2m67xtux8l887js7ezvev。

使用 https://satsx.io/ 查詢，可以看到目前黑客盜取的 ATOM ARC20 代幣還有 68,000 個沒有被轉移。

總結

本文講解的這類攻擊成本極低，攻擊者只需掌握基本的搜索和掃描技能即可發起攻擊。慢霧安全團隊在此提醒，若不慎使用 Replit 生成錢包，請第一時間轉移相關資金並刪除敏感文件！並且，在陌生的 Web 平臺上使用生成的錢包或助記詞時，請務必保持警惕，慢霧安全團隊建議用戶選擇經過安全審計且知名的錢包服務，以降低洩漏風險。