今年以來，TON（The Open Network）收穫了眾多的關注。作為和 Telegram 深度綁定的公鏈，龐大的用戶基礎，新項目的造富效應使得用戶紛紛想要進入 TON 生態，尋找屬於自己的 Alpha。

俗話說：有人的地方就有江湖，有流量的公鏈，駭客也會像鯊魚聞到血腥一樣圍過來。作為一個技術特點不同於 EVM 的公鏈，在 TON 上交互的時候可不能沿用 EVM 上的安全習慣。

作為積極推進與 TON 生態集成的硬體錢包廠商，我們整理了一些安全上的建議，幫助大家安全地擁抱 TON 生態。

一、正確選擇錢包

由於技術實現不同，大家習慣使用的 EVM 錢包如 Metamask、Rabby 等目前都不支持 TON，因此我們需要另外安裝支持 TON 的錢包。

此時一個安全性高的錢包對於我們來說至關重要，我們可以從錢包是否開源，是否支持硬體錢包等方面來評估哪款錢包更適合自己，而特別要注意的就是該錢包對於交易資訊的解析是否全面到位。

舉個例子，在面對 TON 上的釣魚網站，當駭客想轉走我錢包里的某些資產時，錢包軟體 OpenMask 和 TonKeeper @tonkeeper 的交易解析結果大相徑庭，如下圖所示：

在 OpenMask 看起來，這就是一筆正常的「領取空投」交易，但事實果真如此嗎？

同樣一筆交易，Tonkeeper 卻為我們解析展現了更多的資訊，似乎釣魚網站正試圖盜走錢包中的 FISH 代幣，駭客的行為成功地被 Tonkeeper 揭示出來了。

相比較之下，你覺得使用哪款錢包的用戶更容易上當？

安全性更好的錢包，猶如一面「照妖鏡」，可以有效降低用戶在識別釣魚詐騙上的焦慮。近期 Keystone 也成功地與 TonKeeper 完成集成，相信硬體錢包的加入，能讓用戶在 TON 上的安全性成噸提高。

二、防範常見的釣魚形式

和其他公鏈一樣，釣魚也是目前 TON 上最常見，受害者最廣泛的攻擊形式。藉此機會我們來了解一下 TON 上駭客都有哪些釣魚手段：

1. 零金額轉賬釣魚

駭客通過批量發送 0 金額的 TON 到許多地址上，再對轉賬交易備註諸如「領取  1000 TON 的空投，訪問「http://xxxxx.com」等內容，「涉世未深」的用戶可能因此上當受騙，訪問該釣魚網站，並進行了所謂的領取交互，結果被駭客偷走了寶貴的資產。

2.NFT 空投釣魚

除了代幣轉賬，駭客也會嘗試空投 NFT 到用戶錢包進行釣魚，NFT 上除了好看的圖片外，同樣也會留下釣魚網站的網址對用戶進行誘騙。

比如下面這個案例，在空投給用戶的 NFT 上留有假冒的 fragment 市場鏈接。當用戶進入假冒的市場並試圖將空投的 NFT 掛單賣出時，便掉進了駭客的陷阱，不僅沒能賣出 NFT，反而被轉走了其他資產。

3. 警惕 TON 特有的「交易附言」功能

TON 上的轉賬交易都有一個可選的 comment 字段，我們把它理解成銀行轉賬時的交易附言。這本來是方便用戶的功能，卻也被別有用心的釣魚網站利用。

如下圖所示，駭客試圖讓用戶將錢包中的 FISH 代幣轉出，並在交易附言中寫上"Received +xxx,xxx,xxx FISH"的字樣，誤導用戶以為自己將獲得比現有數量更多的 FISH 代幣，從而確認交易。

在此我們提醒各位，不要相信交易附言中的任何內容，也希望在未來各個錢包軟體能為交易附言做出更明確的安全提示。

三、利用區塊鏈瀏覽器識別詐騙釣魚

在以太坊上我們常用 etherscan 查看鏈上資訊，而 TON 上對應的工具有 tonscan 和 tonviewer。

通過比較二者在安全方面的功能，可以發現 tonviewer 在識別詐騙釣魚這一功能上更勝一籌：不僅針對疑是釣魚的交易給出了"SUSPICIOUS"的可疑提示，對於空投的詐騙 NFT，也加上了 SCAM 字樣，防止用戶上當。

而 tonscan 僅僅展示了鏈上資訊，缺少一些安全相關的提示。我們建議剛剛進入 TON 生態的用戶，優先使用 tonviewer 來查看錢包地址的資訊。

四、使用硬體錢包進一步保證安全

在任何公鏈上，使用硬體錢包將助記詞脫網，並對交易進行二次驗證，都是有效保護資產的安全手段。Keystone 通過與 TonKeeper 錢包集成，使得 TON 生態用戶也能夠享受硬體錢包帶來的安全性。針對硬體錢包用戶，我們有以下建議：

• 將大額資產使用硬體錢包保存

• 利用 Keystone 的 3 組助記詞，將資產分開多個錢包存放，防止單點風險

• 仔細查看 Keystone 顯示的交易資訊，避免簽名釣魚交易

在區塊鏈世界裡，機遇往往與風險並存。隨著 TON 生態的壯大，在尋找優質項目投資的同時，也不要忘記保護自己的資產安全。Keystone 也願與 TON 生態各方一起持續 BUIDL，共建一個安全的交互環境。

原文連結