OIN:警惕谷歌搜索廣告的區塊鏈騙局_Tremendous Coin

背景

最近幾周ScamSniffer陸續收到多個用戶被搜索廣告釣魚的案例，他們都無一不例外錯點了Google的搜索廣告從而進入到惡意網站，并在使用中過程簽署了惡意簽名，最終導致錢包里的資產丟失。

惡意廣告

通過搜索一些受害者使用的關鍵詞可以發現很多惡意廣告排在前面，大部分用戶可能對搜索廣告沒有概念就直接打開第一個了，然而這些都是假冒的惡意網站。

定向品牌

通過分析了部分關鍵詞，我們定位到了一些惡意的廣告和網站，如Zapper,Lido,Stargate,Defillama等。

CertiK：警惕假冒Lido推特賬號和釣魚鏈接:1月7日消息，CertiK Alert提醒稱，警惕發布釣魚鏈接的假冒Lido推特賬號，請勿與lidofinance[.]world交互。[2023/1/7 11:00:02]

惡意網站

打開一個Zapper的惡意廣告，可以看到他試圖利用Permit簽名獲取我的$SUDO的授權。如果你安裝了ScamSniffer的插件，你會得到實時的風險提醒。

目前很多錢包對于這類簽名還沒有明確的風險提示，普通用戶很可能以為是普通的登陸簽名，順手就簽了。關于更多Permit的歷史可以看看這篇文章。

警惕KuCoin黑客正利用Uniswap出貨砸盤:據PeckShield旗下資產追蹤平臺CoinHolmes數據顯示，自09月27日下午3時以來，CoinHolmes監控到標記為KuCoin黑客的多個地址，正持續將盜取的大量OCEAN代幣轉入去中心化交易所Uniswap進行砸盤出貨，PeckShield安全人認為，黑客此舉很可能對OCEAN關聯交易對價格產生較大幅度波動影響，建議在OCEAN提供了流動性的LP盡快移除相關流動性。據悉，KuCoin被盜資產目前經中心化交易所洗錢會面臨較大的封堵壓力，因此黑客正嘗試通過去中心化交易所進行洗錢。[2020/9/27]

惡意廣告主

通過分析這些惡意廣告信息，我們發現這些惡意廣告來自這些廣告主的投放:

聲音 | 井賢棟：必須警惕和防范各種以區塊鏈為名的空氣幣以及偽創新:11月6日，在第二屆進口博覽會上，螞蟻金服董事長兼CEO井賢棟指出：必須警惕和防范各種以區塊鏈為名的空氣幣以及偽創新，就像當年連一條網線就說自己是互聯網金融一樣。區塊鏈發展的最大阻力就是這類騙子，只為瘋狂割韭菜，就像癌細胞一樣，會瘋狂生長。只有堅決打擊這樣的不法行為，才能去偽存真，正本清源，讓區塊鏈的真實價值得以浮現。[2019/11/6]

來自烏克蘭的ТОВАРИСТВОЗОБМЕЖЕНОЮВ?ДПОВ?ДА-ЛЬН?СТЮ?РОМУС-ПОЛ?ГРАФ?

來自加拿大的TRACYANNMCLEISH

繞過審核

通過分析這些惡意廣告，我們發現了一些有意思的用于繞過廣告審核的情況。

參數區分

動態 | 警惕有冒充Upbit員工發送釣魚郵件:Upbit剛剛發布公告稱，用戶需警惕有冒充Upbit員工發送電子郵件，將加密貨幣RVN的官方錢包鏈接到個人錢包。Upbit強調并未將該假冒郵件作為模擬郵件和模擬員工郵件發送。若用戶收到郵件，不要下載或點擊郵件中的文件，并將其刪除。[2019/10/4]

比如同樣的域名：

gclid參數訪問就展示惡意網站

不帶就是賣AV接收器的正常頁面

gclid是Google廣告用于追蹤點擊的參數，如果你點擊Google的搜索廣告結果，鏈接會追加上gclid。基于此就可以區分不同用戶來源展示不一樣的頁面。而谷歌在投放前審核階段看到的可能是正常的網頁，這樣一來就繞過了谷歌的廣告審核。

防止調試

動態 | 檢察日報：對“虛擬貨幣”投資須保持高度警惕 最好不要碰:據檢察日報刊文，中國人民銀行等部委2013年12月發出的《關于防范比特幣風險的通知》，以及中國人民銀行等部委2017年9月發布《關于防范代幣發行融資風險的公告》，都只是行政機關給予的指導性管理意見，對于虛擬貨幣的法律地位，我國法律沒有明確規定。在此情況下，江寧區法院對因委托投資“虛擬貨幣”引發的糾紛，從法理、虛擬貨幣的本質屬性、給我國金融帶來的潛在風險出發，結合相關行政機關的指導意見，以判決形式否定“虛擬貨幣”的合法性，意義重大。“山寨比特幣”等，此類虛擬貨幣號稱不受各國央行管控，但每一筆投資有定向的投資對象(即賣礦機的機構，一般都在國外)，只是很多投資者不知道而已。這種打著云礦機旗號的所謂虛擬貨幣基本上是圈錢的，其產生的虛擬貨幣沒有長遠投資價值，一旦賣礦機的機構破產，虛擬貨幣就將一文不值。此類貨幣的投資雖是個人自由，但國家對此類貨幣持否定態度，對此類投資須保持高度警惕，最好不要碰。[2018/9/26]

同樣有些惡意廣告還存在反調試：

開發者工具:禁用緩存開啟→跳轉到正常網站

直接打開→跳轉到惡意網站

對比分析我們發現他們是通過請求頭cache-control的差異來跳轉到不一樣的連接，在開發者工具開啟DisableCache后會導致請求頭有細微差異。除了開發者工具外，一些爬蟲可能也會開啟這個頭保證抓取到最新的內容，這樣一來就又是一種可以繞過一些Google的廣告機器審核的策略。

這些繞過的技巧也解釋了我們的看到的現象，這些鋪天蓋地的惡意廣告是通過一些技術手段和偽裝，成功欺騙了Google廣告的審核，導致這些廣告最終被用戶看到，從而造成了嚴重的損失。

那么對于GoogleAds有什么改進辦法？

接入Web3Focus的惡意網站檢測引擎。

持續監控投放前和投放后整個生命周期中的落地頁情況，及時發現中間動態切換或通過參數跳轉欺騙這種情況的發生。

被盜預估

為了分析潛在的規模，我們從ScamSniffer的數據庫里找到了一些和這些惡意廣告網站關聯的鏈上地址。通過這些地址分析鏈上數據發現，一共大約$4.16m被盜，3k個受害者。大部分被盜發生在近期一個月左右。

數據詳情：https://dune.com/scamsniffer/google-search-ads-phishing-stats

資金流向

通過分析幾個比較大的資金歸集地址，有些存進了SimpleSwap,Tornado.Cash。有些直接進了KuCoin,Binance等。

幾個較大的資金歸集地址：

0xe018b11f700857096b3b89ea34a0ef51339633700xdfe7c89ffb35803a61dbbf4932978812b8ba843d0x4e1daa2805b3b4f4d155027d7549dc731134669a0xe567e10d266bb0110b88b2e01ab06b60f7a143f30xae39cd591de9f3d73d2c5be67e72001711451341

廣告投入估算

根據一些廣告分析平臺，我們能了解到這些關鍵詞的單次點擊均價在1-2左右。

鏈上受害者地址數量大約在3000，如果所有受害者都是通過搜索廣告點擊進來的，按40%的轉化率來算，那么點進來的用戶數大約在7500。

基于此我們根據CPC大致可以估算出廣告的投放成本可能最多在$15k左右。那么可以估算ROI大概在276%=414/15

總結

通過分析我們可以發現大部分的釣魚廣告的投放成本極低。而之所以我們能看到這些惡意廣告很大程度是因為這些廣告通過一些技術手段和偽裝，成功欺騙了Google廣告的審核，導致這些廣告最終被消費者看到，繼而對用戶造成了嚴重的損害。

希望各位用戶在使用搜索引擎的時候多加防范，主動屏蔽廣告區域的內容。同時也希望Google廣告加強對Web3惡意廣告的審查，保護用戶！

Tags：GLEGOOLIDOINMr. BigglesworthGOONG幣SOLID幣Tremendous Coin

中幣