一、事件背景

自俄罗斯-乌克兰战争爆发以来，乌克兰政府一直呼吁加密社区通过捐赠 BTC、ETH、USDT等来支持它。并已收到了价值超过3000万美元的加密货币。以太坊上，乌克兰官方捐赠地址为：

0x165cd37b4c644c2921454429e7f9358d18a45e14（简记为0x165c）。

3月2日，乌克兰官方在推特上确认将为已捐款的人进行空投。但并没有说明空投将是什么，奖励将是代币、NFT 还是其他形式。

此言一出，舆论哗然，谁都知道一个国家发行并空投加密货币将代表这什么，短短几天内各种欺诈和涉恐乱象频发，幸运的是几天后乌克兰官方声明计划取消，避免一出闹剧。

但虽然已声明空投计划取消，但利用这一事件进行炒作或欺诈的事件却仍然在不断发生。最具代表性的就是本文下面将分析的Peaceful World代币，且听SharkTeam独家技术分析，希望投资者提高警惕。

二、Peaceful World欺诈技术分析

3月3日，Etherscan数据显示，乌克兰官方加密货币捐赠钱包正持有近70亿枚Peaceful World代币，似乎是将用于该国首次加密货币空投的代币。

Peaceful World代币地址为：

0x5183f41477c6EE95F88351D9EC17AA415D3F60Ba（简记为0x5183），

代币合约部署以及铸币的交易Hash为：

0xfe1f5ed7277903531f8dd15702604d648eefa787ef4efe7762b5582dbd60b67f，

交易内容如下所示：

上面的交易创建了Peaceful World代币合约，并在构造函数中为乌克兰官方捐赠地址0x165c铸造了70亿枚Peaceful World代币。合约构造函数如下：

构造函数参数如下：

在创建合约的时候，将create初始化为0x165c，并设置了3个辅助地址：

0xf1874c192cf7a6a65c6e057706b805b9f31ee0b7（简记为0xf187）,

0xe9af51aaa1782fdc7c39048a81286505125ca303（简记为0xe9af）,

0xbf7ae6ea0ed53f7ede5bfe1c255c8bf371aa2954（简记为0xbf7a）.

空投函数airDrop合约如下：

发起空投的只能是3个辅助账户，而且空投的代币是Peaceful World代币，而且是从合约为0x165c铸造的70亿枚Peaceful World代币扣除。从以上交易以及合约中，我们分析发现：

1. 发起交易创建合约以及铸造Token的地址并不是0x165c，而是地址0xed4c5ae400f4764cbffd7848c3f48c4d4641ceea（简记为0xed4c）;
2. 发起空投交易的地址只能是3个辅助地址，其他账户地址包括地址0x165c与0xed4c并不能发起空投交易；
3. 空投的代币是从0x165c账户中扣除的，而0x165c并不能发起空投。

账户0xed4c在部署完成Token合约后发起了一笔交易（交易Hash为0x4cd3779a7117777af36945c1ac0750ab0b88d6f7009871cd4e06a8df976f5140），将合约所有者改为账户0x165c，但可发起空投交易的地址仍然只能是初始化的3个辅助账户。

4.根据以上分析，我们发现Peaceful World并不是乌克兰官方发布的空投代币，而是一种网络钓鱼的欺诈行为。铸币完成后，辅助地址发起了空投，比如以下交易：

5.账户0xb874在Uniswap V2中创建了Peaceful World Token与其他代币的流动性矿池（如WETH、USDC），以WETH为例，交易Hash为： 0x70d66923bf5f08869c95472c0a5717ddc84927801bd65d4be4de7e841a7ffdaf，如下：

矿池地址为0x50CDEEcAD82B0fa3360747A65C666653709CF6A1（简记为0x50cd）。并且已经有多个账户和交易参与到了矿池业务中。 6.当其他账户向此矿池中添加流动性后，攻击者会通过swap的方式，使用手上自有的Peaceful World代币将其他人的代币兑换出来，实现Rug攻击。

之后，乌克兰官方也申明此代币是利用乌克兰的以太坊钱包进行的网络钓鱼欺诈。

三、安全建议

此次攻击事件提醒我们，黑客通常无底线、无节操，任何热点都有可能成为其进行欺诈的切入点，利用饿乌战争进行欺诈，发国难财，其恶劣程度不亚于军火走私等行为。

在此，也提醒各位中国公民保持清醒，站对立场，选择性的参与有价值的项目，避免盲目投资，避免血本无归。

SharkTeam团队介绍：SharkTeam作为领先的区块链安全服务团队，为开发者提供智能合约审计服务。智能合约审计服务由人工审计和自动化审计构成，满足不同客户需求，独家实现覆盖高级语言层、虚拟机层、区块链层、业务逻辑层四个方面近两百项审计内容，全面保障智能合约安全。

Twitter：https://twitter.com/sharkteamorg

Telegram：https://t.me/sharkteamorg

更多区块链安全资讯与行业分析，点击下方链接查看 D查查｜链上风险核查