menu-icon
anue logo
澳洲房產鉅亨號鉅亨買幣
search icon
區塊鏈

OKX Web3最新發布:鏈上防釣魚安全交易指南

BlockBeats 律動財經 2024-04-12 17:00

cover image of news article
律動財經圖片

進入新周期,鏈上交互風險隨著用戶活躍度的增加而日益暴露。釣魚者通常會採用假冒錢包網站、竊取社交媒體賬號、創建惡意瀏覽器插件、發送釣魚郵件和資訊以及發布虛假應用程序等方式,誘使用戶泄露敏感資訊,導致資產損失,釣魚形式和場景呈現多樣性、複雜性和隱匿性等特徵。

比如,釣魚者一般通過創建與正規錢包網站外觀相似的假冒網站,誘使用戶輸入其私鑰或助記詞,這些假冒網站通常會使用社交媒體、電子郵件或廣告進行推廣,誤導用戶認為他們正在訪問正規的錢包服務,從而盜取用戶的資產。此外,還有釣魚者可能會利用社交媒體平台、論壇或即時通訊應用程序,偽裝成錢包客服或社區管理員,向用戶發送虛假消息,要求他們提供錢包資訊或私鑰,這種方式利用了用戶對官方的信任,誘使他們泄露私人資訊等等。

總之,這些案例突出了釣魚行為對 Web3 錢包用戶的威脅。為幫助用戶提高 Web3 錢包使用安全意識,並保護資產安全免受損失,OKX Web3 深入社區調研並收集了眾多 Web3 錢包用戶遭遇過的釣魚事件,從而提煉出用戶最常遇到的 4 大典型釣魚場景,並通過不同場景下的細分案例,採用圖文案例結合的方式,撰寫了 Web3 用戶該如何進行安全交易的最新指南,供大家學習參考。

惡意資訊來源

1、熱門項目推特回復

通過熱門項目推特回復是惡意資訊的主要方式之一,釣魚推特賬號可以從 Logo、名字、認證標識等都做到和官方號一模一樣,甚至連 Follower 數量也可以是幾十 K,而唯一能區別兩者的就是——推特 handle(注意相似字符),請用戶務必擦亮眼睛。

此外,很多時候,假賬號會在官推消息下面故意回復,但回復內容中帶有釣魚鏈接,很容易讓用戶以為是官方鏈接,從而上當受騙。目前,有些官方賬號目前在推文中,會增加 End of Tweet 推文,提醒用戶防範後續回覆中可能包含釣魚鏈接的風險。

2、盜取官方推特/Discord

為增加可信性,釣魚者還會盜取項目方或者 KOL 的官方推特/Discord,以官方名義發布釣魚鏈接,所以很多用戶很容易上當。比如,Vitalik 的推特賬號以及 TON 項目官方推特就曾被盜取,釣魚者藉機發布了虛假資訊或者釣魚鏈接。



3、谷歌搜尋廣告

釣魚者有時會使用谷歌搜尋廣告發布惡意鏈接,用戶從瀏覽器顯示的名字看為官方域名,但點擊後跳轉到的鏈接為釣魚鏈接。

4、虛假應用

釣魚者還會通過虛假應用從而誘導用戶。比如當用戶下載安裝了釣魚者發布的假錢包,會導致其私鑰泄漏和資產丟失。有釣魚者曾修改過的 Telegram 安裝包,從而改變了接收和發送代幣的鏈上地址,導致了用戶資產的損失。

5、應對措施:OKX Web3 錢包支持釣魚鏈接檢測及風險提醒

當前,OKX Web3 錢包通過支持釣魚鏈接檢測及風險提醒,為幫助用戶更好地應對上述問題。比如,用戶通過 OKX Web3 插件錢包使用瀏覽器訪問網站時,如果該域名為已知惡意域名,則會第一時間收到告警提醒。此外,如果用戶使用 OKX Web3 APP 在 Discover 界面訪問第三方 DAPP 時,OKX Web3 錢包將會自動針對域名進行風險檢測,如果其為惡意域名,則會進行攔截提醒,禁止用戶訪問。

錢包私鑰安全

1、進行項目交互或者資格驗證

釣魚者會在用戶在進行項目交互或者資格驗證時候,偽裝成插件錢包彈窗的頁面或者其他任何網頁,要求用戶填寫助記詞/私鑰,這類一般都是都是惡意網站,用戶應該提高警惕意識。

2、冒充項目方客服或者管理員

釣魚者經常會冒充項目方客服或者 Discord 管理員,並提供網址讓用戶輸入助記詞或者私鑰,這種情況說明對方是釣魚者。

3、其他助記詞/私鑰泄漏可能路徑

用戶助記詞和私鑰泄漏可能路徑有很多,常見的包括電腦被植入木馬病毒軟體、電腦使用了擼毛用的指紋瀏覽器、電腦使用了遠程控制或代理工具、助記詞/私鑰截圖保存相冊,但被惡意 APP 上傳、備份到雲端,但雲端平台被入侵、輸入助記詞/私鑰過程被監控、身邊人物理獲取到助記詞私鑰文件/紙 、以及開發人員推送包括私鑰代碼到 Github 等等。

總之,用戶需要安全地儲存和使用助記詞/私鑰,從而更好的保證錢包資產安全。比如,當前作為去中心化的自託管錢包,OKX Web3 錢包上線 iCloud/Google Drive 雲端、手動、硬體等多種助記詞/私鑰備份方式,已成長為市面上支持私鑰備份方式較為全面的錢包,為用戶提供較為安全的私鑰儲存方式。在用戶私鑰被盜問題上,OKX Web3 錢包已支持 Ledger、 Keystone、Onekey 等較為全面的主流硬體錢包功能,硬體錢包的私鑰儲存在硬體錢包設備里,由用戶自己掌握,從而保障資產安全。也就是 OKX Web3 錢包讓用戶通過硬體錢包安全管理資產的同時,又可以自由參與鏈上代幣交易、NFT 市場和各類 dApp 項目交互等。此外,OKX Web3 錢包現已上線 MPC 無私鑰錢包、以及 AA 智能合約錢包,幫助用戶進一步簡化私鑰問題。

4 大經典釣魚場景

場景 1、竊取主鏈代幣

釣魚者往往會給惡意合約函數起名為 Claim,SeurityUpdate 等具有誘導性名字,而實際函數邏輯為空,從而只轉移用戶主鏈代幣。當前 OKX Web3 錢包已上線交易預執行功能,顯示該交易上鏈後資產及授權變化,從而進一步提醒用戶注意安全。另外,如果其交互合約或授權地址為已知惡意地址,則會進行紅色安全提醒。

場景 2、相似地址轉賬

當監測到有大額轉賬時,釣魚者會通過地址碰撞生成和接收地址首位若干位相同的地址,利用 transferFrom 進行 0 金額轉賬,或利用假 USDT 進行一定金額轉賬,污染用戶交易歷史,期望用戶後續轉賬從交易歷史拷貝錯誤地址,完成詐騙。

場景 3、鏈上授權



釣魚者通常會誘導用戶簽署 approve / increaseAllowance / decreaseAllowance / setApprovalForAll 交易,以及升級使用 Create2 生成預先計算好的新地址,繞過安全檢測,從而騙取用戶授權相關。OKX Web3 錢包會針對授權交易進行安全提醒,請用戶注意該交易為授權相關交易,注意風險。另外,如果交易授權地址為已知惡意地址時,會進行紅色資訊提醒,避免用戶上當受騙。

 

場景 4、鏈下簽名

除了鏈上授權外,釣魚者還會通過誘導用戶進行鏈下簽名的方式進行釣魚。比如,ERC20 代幣授權允許用戶授權給另外一個地址或合約一定額度,被授權地址可以通過 transferFrom 轉移用戶資產,釣魚者就是利用這種特點進行詐騙。當前 OKX Web3 錢包正在針對此類場景開發風險提示功能,當用戶簽署離線簽名時,通過解析簽名授權地址,如果命中已知惡意地址,會對用戶進行風險提示。

其他釣魚場景

場景 5、TRON 賬號權限

這類場景比較抽象,一般是釣魚者通過獲取用戶 TRON 賬號權限來控制其資產。TRON 賬號權限設置和 EOS 類似,分為 Owner 和 Active 權限,並可以設置類似多簽形式進行權限控制,如下權限設置 Owner 門限為 2,兩個地址權重分別為 1 和 2,第一個地址為用戶地址,權重為 1 無法單獨操作賬號。

場景 6、Solana 代幣及賬號權限

釣魚者通過 SetAuthroity 修改代幣 ATA 帳戶 Ownership,相當於代幣轉給了新的 Owner 地址。用戶被該方法釣魚後,資產轉移給釣魚方等等。此外,如果用戶簽署了 Assign 交易,其正常賬號的 Owner 將從 System Program 被修改為惡意合約。

場景 7、EigenLayer 調用 queueWithdrawal

由於協議本身的設計機制等問題,也很容易被釣魚者利用。基於以太坊的中間件協議 EigenLayer 的 queueWithdrawal 調用,允許指定其他地址作為 withdrawer,用戶被釣魚簽署了該交易。七天後,指定地址通過 completeQueuedWithdrawal 獲得用戶的質押資產。

探索鏈上世界,安全第一

安全使用 Web3 錢包是保護資產的關鍵措施,用戶應切實採取預防措施以防範潛在的風險和威脅。可以選擇行業知名的、經過安全審計的 OKX Web3 錢包、更安全便捷地探索鏈上世界。

作為行業最先進以及功能最全面的錢包,OKX Web3 錢包完全去中心化、且自託管,支持用戶一站式玩轉鏈上應用,現已支持 85+ 公鏈,App、插件、網頁三端統一,涵蓋錢包、DEX、DeFi、NFT 市場、DApp 探索 5 大板塊、並支持 Ordinals 市場、MPC 和 AA 智能合約錢包、兌換 Gas、連接硬體錢包等。此外,用戶還可以通過安全地保護私鑰和助記詞、定期更新錢包應用和操作系統、謹慎處理鏈接和資訊以及啟用多重身份驗證功能,從而增加錢包的安全性。

總之,在鏈上世界,資產安全大於一切。

用戶需要謹記這 3 條 Web3 安全規則:不要在任何網頁填寫助記詞/私鑰、謹慎點擊錢包交易界面 確認按鈕、以及推特/Discord/搜尋引擎獲得的鏈接可能是釣魚鏈接。

原文連結

暢行幣圈交易全攻略,專家駐群實戰交流

▌立即加入鉅亨買幣實戰交流 LINE 社群(點此入群
不管是新手發問,還是老手交流,只要你想參與虛擬貨幣現貨交易、合約跟單、合約網格、量化交易、理財產品的投資,都歡迎入群討論學習!

前往鉅亨買幣找交易所優惠






Empty