一众 Web3 用户在 BNB Chain 上对黑客疯狂喊话。
原文标题：《黑客攻击下的 B 圈熊市众生相》
撰文：Mo0N
编辑：Babywhale
序
早晨莫名其妙睡不着，脑子里盘旋着一些思路。打开电脑打算记录一下，结果发现各大群已经炸了。
TP 钱包用于闪兑的 Transit Swap 的 router 合约被攻击了，损失超过 1500 万美元（Foresight News 注，实际损失超 2300 万美元）。
如果用过 Uniswap 等 DEX 的应该知道，进行代币交换的时候需要先对 router 去 approve 你的代币，默认情况下这个授权是无限授权，会允许 router 转走你授权的全部代币。通常来说对知名 DEX 的 router 授权并不是一个危险操作，因为这类 router 代码开源且经过多方审计，权限检查十分严格。只能根据你 swap 指定的数量会转走你的代币，而不会任意胡来。
但 router 存在漏洞时就是另一种惨状了。本次被攻击是因为 router 的 claimToken 接口校验不太严格，导致攻击者构造恶意的 calldata 发给 router 后，可以让 router 将授权给它的其他用户的资产转移出来。
router 作为用户授权接口，出现此种问题影响的不（只）是合约方的资产，而是大量使用该合约的用户的资产。我今年年初发现的 0xDAO 漏洞其实本质也是这种问题。
由于这个 router 合约没有开源，具体细节还来不及分析，就此先略过。0x181a7882aac0eab1036eedba25bc95a16e10f61b5df2e99d240a16c334b9b189 是一笔攻击交易，有兴趣的同学可以分析一下。
众生相
攻击者最终获利保存在地址0x75f2aba6a44580d7be2c4e42885d4a1917bffd46上。目前该地址上还保存着接近 1600 万美元的资产（Foresight News 注，截止发文时，攻击者已归还约 70% 的被盗资产）。
抛开技术细节不聊，我在攻击者的 BSCScan 页上看到比较有意思的事。以往项目方被攻击，通常只有寥寥数条项目方与黑客之前的沟通，如 如果可以将资产归还到 XXX 地址，你可以保留 10% 作为 Bounty，或者我们可能会选择联系警方通过法律途径解决问题。 等等。
由于这次受到攻击的不是项目方而是散户，留言数非常之多（超过 200 条）。下面摘录一些大家一起赏析一下。
整体上我把留言分成这么几类。
霸道总裁型
基本形式是，喂！我！打钱！十分强硬，如：
1.give me some money please
2.100bnb 🙁
3.give me 100bnb
4.give me some money please 99bnb！！！🙏
5.send me bnb dude
6.May I have some bnb? I really need money. thank you，谢谢你
7.给我 100B，我需要钱
按目前的币价，100 BNB 价格大概在 20 万人民币左右。张口就要 20 万，可以说是非常强势了。
另外由于链上发消息 data 普遍是 UTF-8 编码的，所以也会出现 emoji 表情，在这种场景上莫名有点喜感。
卖惨韭菜型
基本形式是，求求了，打发点咯，这类是主流，看来大家确实都亏的挺惨的：
1.Please give me some bnb！I lost everything. Please…
2.sir can u give me some bnb pls ，u saving me
3.大哥….那是我的救命钱…..能不能还给我…..
4.Eldest brother … that’s my life-saving money … can you give it back to me? …..
5.真的负债几十万给点吧哥哥
6.日子太难了，可以给 10bnb 吗 Life is hard, can you give me 10bnb?
7.呜呜呜呜呜😭，我活不下去了。黑客哥哥，求求你救救我吧。给我打点 bnb 让我坚持下去吧。谢谢你了谢谢你了谢谢你了。
8.朋友帮一把，亏麻了，网贷还有十几万还不上
9.哥，劫富济贫一波吗，人亏麻了 Brother, can you help me? I have been losing money since I entered the currency circle. Please give me 100BNB.
10.大哥行行好，没钱吃饭了，快饿死了
11.好兄弟我需要你的帮助，亏了几万 u 没有能力还网贷了救救我
12.最后的手续费了，亏光了所有，希望哥哥能给我 100 个 BNB。The final handling fee is gone, I lost everything, I hope my brother can give me 100 BNB.
13.大哥，可以帮帮我不，去年进入币圈，今年被各种私募割嘛了。前不久被老板娘收拾的干干净净
14.大神牛逼！大神真帅！给我点钱好吗？最近亏死了
15.大哥，可以救急一下被狗庄割嘛的小韭菜吗，谢谢！
16.大哥能给我赚点钱资助一下吗，我已经快亏没要退圈了，希望您给我最后一束光！
17.被债务压的喘不过气，帮一把吧！谢谢!
18.大哥，已经亏麻了在币圈，求东山再起启动资金，你这技术一天赚了别人十辈子的钱，当投资帮助下挣扎的低保户，感谢！！！
19.炒币炒的离婚了，现在无家可归，寄人篱下，大佬施舍 100 个 bnb 我就能有自己的窝，谢谢大佬，祝大老全家幸福安康
20.大佬行行吧，不要盗了，我们都亏嘛，能打回吗
小作文型
特点就是长长长长长。。。一般来说也更惨一点。。而且基本还都是双语的：
1.我的童年很不幸福。父亲和母亲命运多舛，性格都被苦难扭曲，父亲冷漠孤僻，母亲暴躁自私，对孩子动辄打骂良久，并不问缘由。他们都不懂得如何去爱，每逢过节过年，家中必有大大小小经久不衰的热战冷战，几十年来，从无例外，来到币圈，只是想赚一点小钱，却没想到越陷越深，看到大哥一晚上能够财富自由，小弟也是深知知识改变命运，希望大哥能略施小手，帮弟弟一把。
My childhood was very unhappy. Father and mother are ill-fated, and their personalities are distorted by suffering. The father is indifferent and lonely, andthe mother is irritable and selfish. They often beat and scold their children for a long time without asking why. They don’t know how to love. Every Spring Festival, there must be a long-lasting hot war at home, big and small. For decades, they have never been in the currency circle without exception. I just want to make a little money, but I didn’t expect to get deeper and deeper. Seeing that the eldest brother can be rich and free overnight, my little brother also knows that knowledge changes fate. I hope the eldest brother I can give a little hand and help my brother.
2.你好，技术真牛哇！我原本是想赚点钱补贴家用，照顾病中的家人，结果被无良狗庄割完了。现在不知道住院费和生活费怎么办？父母都还需要我来照顾，但是我已经无路可走。你是个劫富济贫的好人，请帮帮我，万分感谢🙏！我会祈祷上天保佑你好人有好报。不管别人如何评论，我知道你就是救我于走投无路之际的贵人。请帮帮我！不知道说什么好了。感谢🙏🙏🙏
Hello, the technology is really awesome! I originally wanted to earn some money to support my family and take care of my sick family, but I was cut up by the unscrupulous dog farm. Now I don’t know what to do with the hospitalization fee and living expenses? My parents still need me to take care of them, but I have no way to go. You are a good man who robs the rich to give to the poor, please help me, thank you very much! I will pray that God will bless you and good people will be rewarded. No matter what others say, I know you are the one who saved me when I had no way out. Please help me! I don’t know what to say. Thank you！
3.大哥可以给点吗？我真的走投无路了，玩了两年的币了，越亏越多，欠了几十万。今年要是还不上，我都不想活了，救救我施舍点吧，求求了。
Brother, can you give me some? I’mreally desperate. After playing with coins for two years, I’m losing more and more, and I owe hundreds of thousands. If it doesn’t come this year, I don’t want to live. Please give me some charity, please.
4.Dear Sir, my name is Parker, and I come from a remote town. I grew up poor. I’m currently in a bad school and I want to try to get into a good one. Can you help me change this family? I would work in town every week to pay my tuition.
5.大哥您好，我去年进入的币圈，朋友说打链游可以一翻倍，我冲了十万油进来，结果一个月就血本无归了，后来搞土狗，越搞越亏，最后的两千油梭哈了，结果昨天还亏了 800 油，之前亏那么多不会那么痛苦，昨天最后的两千刀亏了，感觉心灰意冷，真的有想跳楼的冲动，希望大哥可以看到这条信息。
6.您是上天派来拯救我们穷苦人的吗？220 枚 BNB 可以暂缓我们整个家庭目前的经济困境，负债加上病痛折磨，已经让我们全家失去活下去的动力了，求求您大发慈悲救救我们吧。
7.大哥是上天派来拯救我们穷苦人的吗？目前我白天工地干活，晚上送外卖，一天顶多挣七百八块钱，因家中有病人加上负债，这点收入远不够开销，220 枚 BNB 可以缓解我们整个家庭目前的经济困境，负债加上病痛折磨，已经让我们全家失去活下去的
动力了，求求您大发慈悲救救我们吧！望大哥能给予力所能及的帮助，小弟在此祝愿大哥及其家人一生平安…🙏🏻🙏
一天七百一个月其实也 2 万了……
比较神奇的是下面这段，说实话我不知道这是啥……
蛋糕王感叹：“家族企业啊，这小娘皮长的真好看，不知道去他们家干嘛”
“确实美，可别是他们相亲对象过来考察，那我就酸了”乔峰撇着嘴
以太医院门口
邱厂长面色阴沉，就和天上的乌云一样，压着人透不过气
“欧阳，这事处理成这样？话说你也不想进去吧，红客和兔子的事情被我压下去了，这是第三次了，你自己看着办吧”
欧阳低着头，双手垂在裤管两侧，左手紧紧攥着衣角，右手握紧了拳头，嘴角微抿，“邱总放心”
邱厂长一摆左手，示意不要再说了
啪嗒，一滴雨水落在了左腕的手表上，手表上的皇冠似乎放的更大了，欧阳隐约看到了 lex 什么字样
“这表看上去真不错，到时候我也得搞一个戴戴，不过肯定不能在这老家伙面前”
银色的三叉戟从医院门口滑过，稳稳的停在了邱厂长的面前，欧阳拉开了车门，邱厂长面色依然不悦的坐了上去，冷哼了一声，重重的自己关上了车门。
迷弟型
基本就是无脑夸夸了，可能是被技术折服了。
1.Brother, you are great. I admire you！
2.I LOVE YOU！
3.A hero who robs the rich to help the poor.
4.Blockchain Hero！
5.I love you! Dear hero!
6.I wish your family good health
7.you are so good. I love you so much.
8.A good man is safe all his life.
9.re allocate the world
10.您好，这是区块链世界历史性的一刻，这次壮举足以改变这个市场的某些东西，整个区块链产生震荡！我也想在这个世界留下一抹属于自己的色彩！恩人，请恩赐我 100bnb！感谢不知名的你！！！
Hello, this is a historic moment in the blockchain world, this feat is enough to change something in this market, and the entire blockchain shakes! I also want to leave a touch of my own color in this world! Benefactor, please grant me 100bnb! Thank you unknown! ! !
舔狗型
当然还有人可能就在昧着良心能屈能伸了。
叫哥是最常见的。
1.大哥劫富济贫，小弟实在佩服。大哥要是肯赏小弟一些碎银子，小弟定当感激不尽！
2.我是一名网络乞丐，你是一名国人黑客，帮帮我给我打钱
3.你好大哥，在下非常羡慕你的牛 B 技术，奈何家境贫寒，恳求大哥支助 100BNB 支持，非常感谢！🙏
Hello big brother, I am very envious of your cattle B technology, but my family is poor, I beg big brother to support 100BNB support, thank you very much!🙏🏻🙏🏻
4.The eldest brother is rich, smooth, and happy every day. Can you give me a red envelope
5.Brother, you are really awesome. I need money. Can you give me some money
大哥能不能赏一点，谢谢
6.大哥你好，鄙人非常仰慕您这样的技术性大佬，请打赏一点 bnb 感谢
Hello, big brother, I admire a technical big guy like you very much, please give a little bnb thank you🔥
7.❤️❤️❤️I like and admire you very much. If you can give me 100bnb, I will tide over the difficulties. Thank you！
8.跪求大哥打赏，亏麻了，世世代代供奉大哥！！
Kneel down to beg for a reward from the eldest brother. He has lost his numbness and has been worshipping the eldest brother for generations
叫哥不够劲已经得叫爹了，好家伙现在乞丐都这么卷的么……
1.牛逼，快穷死了，打赏点吧，带带我。家底快亏没了。叫个爸爸能打赏点不，我是你儿子，好爸爸。
2.给点吧 爹 ! 快要吃不起饭了
Please give me some. I can’t affordto eat. My life is terrible again. I want to die.
3.爸爸，赏点 bnb 吧！求求了
4.干爹，救济救济我吧，我不像他们，给我 1bnb 就行，求求你了干爹
脚本
当然上面这些东西我不可能在 https://bscscan.com/ 上一个一个点开，Click to see More，View Input As UTF-8，所以写了个脚本，刚刚 push 到 peth[3] 里，想吃瓜完整版的可以自取。
➜ peth git:(master) python main.py –cmd “idm 0x75f2aba6a44580d7be2c4e42885d4a1917bffd46 400” -c bsc
—- [1] 0x1c5cc5dbc2b886a2e16aace5ca2bfdac88888888 to Hacker (0.0000)—-
give me some money please
100bnb 🙁
—- [2] 0x9417eba9dee322be034c137f963287790b018fc4 to Hacker (0.0000)—-
give me 100bnb
—- [3] 0xefafb8ebfdfd4fb78a9a41f82a008f0f6eb3097f to Hacker (0.0000)—-
Please give me some bnb！I lost everything. Please…
—- [4] 0xe364c7a4d57cd4769b816fd846a512f3554f33ed to Hacker (0.0011)—-
sir can u give me some bnb pls ，u saving me
…
