OKX Web3 最新發(fā)布：鏈上防釣魚安全交易指南
進(jìn)入新周期，鏈上交互風(fēng)險(xiǎn)隨著用戶活躍度的增加而日益暴露。釣魚者通常會(huì)采用假冒錢包網(wǎng)站、竊取社交媒體賬號(hào)、創(chuàng)建惡意瀏覽器插件、發(fā)送釣魚郵件和信息以及發(fā)布虛假應(yīng)用程序等方式，誘使用戶泄露敏感信息，導(dǎo)致資產(chǎn)損失，釣魚形式和場(chǎng)景呈現(xiàn)多樣性、復(fù)雜性和隱匿性等特征。
比如，釣魚者一般通過創(chuàng)建與正規(guī)錢包網(wǎng)站外觀相似的假冒網(wǎng)站，誘使用戶輸入其私鑰或助記詞，這些假冒網(wǎng)站通常會(huì)使用社交媒體、電子郵件或廣告進(jìn)行推廣，誤導(dǎo)用戶認(rèn)為他們正在訪問正規(guī)的錢包服務(wù)，從而盜取用戶的資產(chǎn)。此外，還有釣魚者可能會(huì)利用社交媒體平臺(tái)、論壇或即時(shí)通訊應(yīng)用程序，偽裝成錢包客服或社區(qū)管理員，向用戶發(fā)送虛假消息，要求他們提供錢包信息或私鑰，這種方式利用了用戶對(duì)官方的信任，誘使他們泄露私人信息等等。
總之，這些案例突出了釣魚行為對(duì)Web3錢包用戶的威脅。為幫助用戶提高Web3錢包使用安全意識(shí)，并保護(hù)資產(chǎn)安全免受損失，OKX Web3深入社區(qū)調(diào)研并收集了眾多Web3錢包用戶遭遇過的釣魚事件，從而提煉出用戶最常遇到的4大典型釣魚場(chǎng)景，并通過不同場(chǎng)景下的細(xì)分案例，采用圖文案例結(jié)合的方式，撰寫了Web3用戶該如何進(jìn)行安全交易的最新指南，供大家學(xué)習(xí)參考。
惡意信息來源
1、熱門項(xiàng)目推特回復(fù)
通過熱門項(xiàng)目推特回復(fù)是惡意信息的主要方式之一，釣魚推特賬號(hào)可以從Logo、名字、認(rèn)證標(biāo)識(shí)等都做到和官方號(hào)一模一樣，甚至連Follower數(shù)量也可以是幾十K，而唯一能區(qū)別兩者的就是——推特handle（注意相似字符），請(qǐng)用戶務(wù)必擦亮眼睛。
此外，很多時(shí)候，假賬號(hào)會(huì)在官推消息下面故意回復(fù)，但回復(fù)內(nèi)容中帶有釣魚鏈接，很容易讓用戶以為是官方鏈接，從而上當(dāng)受騙。目前，有些官方賬號(hào)目前在推文中，會(huì)增加End of Tweet推文，提醒用戶防范后續(xù)回復(fù)中可能包含釣魚鏈接的風(fēng)險(xiǎn)。
2、盜取官方推特/Discord
為增加可信性，釣魚者還會(huì)盜取項(xiàng)目方或者KOL的官方推特/Discord，以官方名義發(fā)布釣魚鏈接，所以很多用戶很容易上當(dāng)。比如，Vitalik的推特賬號(hào)以及TON項(xiàng)目官方推特就曾被盜取，釣魚者借機(jī)發(fā)布了虛假信息或者釣魚鏈接。
3、谷歌搜索廣告
釣魚者有時(shí)會(huì)使用谷歌搜索廣告發(fā)布惡意鏈接，用戶從瀏覽器顯示的名字看為官方域名，但點(diǎn)擊后跳轉(zhuǎn)到的鏈接為釣魚鏈接。
4、虛假應(yīng)用
釣魚者還會(huì)通過虛假應(yīng)用從而誘導(dǎo)用戶。比如當(dāng)用戶下載安裝了釣魚者發(fā)布的假錢包，會(huì)導(dǎo)致其私鑰泄漏和資產(chǎn)丟失。有釣魚者曾修改過的Telegram安裝包，從而改變了接收和發(fā)送代幣的鏈上地址，導(dǎo)致了用戶資產(chǎn)的損失。
5、應(yīng)對(duì)措施：OKX Web3錢包支持釣魚鏈接檢測(cè)及風(fēng)險(xiǎn)提醒
當(dāng)前，OKX Web3錢包通過支持釣魚鏈接檢測(cè)及風(fēng)險(xiǎn)提醒，為幫助用戶更好地應(yīng)對(duì)上述問題。比如，用戶通過OKX Web3插件錢包使用瀏覽器訪問網(wǎng)站時(shí)，如果該域名為已知惡意域名，則會(huì)第一時(shí)間收到告警提醒。此外，如果用戶使用OKX Web3 APP在Discover界面訪問第三方DAPP時(shí)，OKX Web3錢包將會(huì)自動(dòng)針對(duì)域名進(jìn)行風(fēng)險(xiǎn)檢測(cè)，如果其為惡意域名，則會(huì)進(jìn)行攔截提醒，禁止用戶訪問。
錢包私鑰安全
1、進(jìn)行項(xiàng)目交互或者資格驗(yàn)證
釣魚者會(huì)在用戶在進(jìn)行項(xiàng)目交互或者資格驗(yàn)證時(shí)候，偽裝成插件錢包彈窗的頁(yè)面或者其他任何網(wǎng)頁(yè)，要求用戶填寫助記詞/私鑰，這類一般都是都是惡意網(wǎng)站，用戶應(yīng)該提高警惕意識(shí)。
2、冒充項(xiàng)目方客服或者管理員
釣魚者經(jīng)常會(huì)冒充項(xiàng)目方客服或者Discord管理員，并提供網(wǎng)址讓用戶輸入助記詞或者私鑰，這種情況說明對(duì)方是釣魚者。
3、其他助記詞/私鑰泄漏可能路徑
用戶助記詞和私鑰泄漏可能路徑有很多，常見的包括電腦被植入木馬病毒軟件、電腦使用了擼毛用的指紋瀏覽器、電腦使用了遠(yuǎn)程控制或代理工具、助記詞/私鑰截圖保存相冊(cè)，但被惡意APP上傳、備份到云端，但云端平臺(tái)被入侵、輸入助記詞/私鑰過程被監(jiān)控、身邊人物理獲取到助記詞私鑰文件/紙 、以及開發(fā)人員推送包括私鑰代碼到Github等等。
總之，用戶需要安全地存儲(chǔ)和使用助記詞/私鑰，從而更好的保證錢包資產(chǎn)安全。比如，當(dāng)前作為去中心化的自托管錢包，OKX Web3錢包上線iCloud/Google Drive云端、手動(dòng)、硬件等多種助記詞/私鑰備份方式，已成長(zhǎng)為市面上支持私鑰備份方式較為全面的錢包，為用戶提供較為安全的私鑰存儲(chǔ)方式。在用戶私鑰被盜問題上，OKX Web3錢包已支持Ledger、 Keystone、Onekey 等較為全面的主流硬件錢包功能，硬件錢包的私鑰存儲(chǔ)在硬件錢包設(shè)備里，由用戶自己掌握，從而保障資產(chǎn)安全。也就是OKX Web3錢包讓用戶通過硬件錢包安全管理資產(chǎn)的同時(shí)，又可以自由參與鏈上代幣交易、NFT市場(chǎng)和各類dApp項(xiàng)目交互等。此外，OKX Web3 錢包現(xiàn)已上線 MPC無(wú)私鑰錢包、以及AA智能合約錢包，幫助用戶進(jìn)一步簡(jiǎn)化私鑰問題。
4大經(jīng)典釣魚場(chǎng)景
場(chǎng)景1、竊取主鏈代幣
釣魚者往往會(huì)給惡意合約函數(shù)起名為Claim，SeurityUpdate等具有誘導(dǎo)性名字，而實(shí)際函數(shù)邏輯為空，從而只轉(zhuǎn)移用戶主鏈代幣。當(dāng)前OKX Web3錢包已上線交易預(yù)執(zhí)行功能，顯示該交易上鏈后資產(chǎn)及授權(quán)變化，從而進(jìn)一步提醒用戶注意安全。另外，如果其交互合約或授權(quán)地址為已知惡意地址，則會(huì)進(jìn)行紅色安全提醒。
場(chǎng)景2、相似地址轉(zhuǎn)賬
當(dāng)監(jiān)測(cè)到有大額轉(zhuǎn)賬時(shí)，釣魚者會(huì)通過地址碰撞生成和接收地址首位若干位相同的地址，利用transferFrom進(jìn)行0金額轉(zhuǎn)賬，或利用假USDT進(jìn)行一定金額轉(zhuǎn)賬，污染用戶交易歷史，期望用戶后續(xù)轉(zhuǎn)賬從交易歷史拷貝錯(cuò)誤地址，完成ZP。
https://tronscan.org/#/transaction/27147fd55e85bd29af31c00e3d878bc727194a377bec98313a79c8ef42462e5f
場(chǎng)景3、鏈上授權(quán)
釣魚者通常會(huì)誘導(dǎo)用戶簽署approve / increaseAllowance / decreaseAllowance / setApprovalForAll 交易，以及升級(jí)使用Create2生成預(yù)先計(jì)算好的新地址，繞過安全檢測(cè)，從而騙取用戶授權(quán)相關(guān)。OKX Web3錢包會(huì)針對(duì)授權(quán)交易進(jìn)行安全提醒，請(qǐng)用戶注意該交易為授權(quán)相關(guān)交易，注意風(fēng)險(xiǎn)。另外，如果交易授權(quán)地址為已知惡意地址時(shí)，會(huì)進(jìn)行紅色信息提醒，避免用戶上當(dāng)受騙。
場(chǎng)景4、鏈下簽名
除了鏈上授權(quán)外，釣魚者還會(huì)通過誘導(dǎo)用戶進(jìn)行鏈下簽名的方式進(jìn)行釣魚。比如，ERC20代幣授權(quán)允許用戶授權(quán)給另外一個(gè)地址或合約一定額度，被授權(quán)地址可以通過transferFrom轉(zhuǎn)移用戶資產(chǎn)，釣魚者就是利用這種特點(diǎn)進(jìn)行zp。當(dāng)前OKX Web3錢包正在針對(duì)此類場(chǎng)景開發(fā)風(fēng)險(xiǎn)提示功能，當(dāng)用戶簽署離線簽名時(shí)，通過解析簽名授權(quán)地址，如果命中已知惡意地址，會(huì)對(duì)用戶進(jìn)行風(fēng)險(xiǎn)提示。
其他釣魚場(chǎng)景
場(chǎng)景5、TRON賬號(hào)權(quán)限
這類場(chǎng)景比較抽象，一般是釣魚者通過獲取用戶TRON賬號(hào)權(quán)限來控制其資產(chǎn)。TRON賬號(hào)權(quán)限設(shè)置和EOS類似，分為Owner和Active權(quán)限，并可以設(shè)置類似多簽形式進(jìn)行權(quán)限控制，如下權(quán)限設(shè)置Owner門限為2，兩個(gè)地址權(quán)重分別為1和2，第一個(gè)地址為用戶地址，權(quán)重為1無(wú)法單獨(dú)操作賬號(hào)。
https://tronscan.org/#/wallet/permissions
場(chǎng)景6、Solana代幣及賬號(hào)權(quán)限
釣魚者通過SetAuthroity修改代幣ATA賬戶Ownership，相當(dāng)于代幣轉(zhuǎn)給了新的Owner地址。用戶被該方法釣魚后，資產(chǎn)轉(zhuǎn)移給釣魚方等等。此外，如果用戶簽署了Assign交易，其正常賬號(hào)的Owner將從System Program被修改為惡意合約。
場(chǎng)景7、EigenLayer調(diào)用 queueWithdrawal
由于協(xié)議本身的設(shè)計(jì)機(jī)制等問題，也很容易被釣魚者利用。基于以太坊的中間件協(xié)議EigenLayer的queueWithdrawal調(diào)用，允許指定其他地址作為withdrawer，用戶被釣魚簽署了該交易。七天后，指定地址通過completeQueuedWithdrawal獲得用戶的質(zhì)押資產(chǎn)。
探索鏈上世界，安全第一
安全使用Web3錢包是保護(hù)資產(chǎn)的關(guān)鍵措施，用戶應(yīng)切實(shí)采取預(yù)防措施以防范潛在的風(fēng)險(xiǎn)和威脅?？梢赃x擇行業(yè)知名的、經(jīng)過安全審計(jì)的OKX Web3錢包、更安全便捷地探索鏈上世界。
作為行業(yè)最先進(jìn)以及功能最全面的錢包，OKX Web3錢包完全去中心化、且自托管，支持用戶一站式玩轉(zhuǎn)鏈上應(yīng)用，現(xiàn)已支持 85+ 公鏈，App、插件、網(wǎng)頁(yè)三端統(tǒng)一，涵蓋錢包、DEX、DeFi、NFT 市場(chǎng)、DApp 探索 5 大板塊、并支持 Ordinals 市場(chǎng)、MPC 和 AA 智能合約錢包、兌換 Gas、連接硬件錢包等。此外，用戶還可以通過安全地保護(hù)私鑰和助記詞、定期更新錢包應(yīng)用和操作系統(tǒng)、謹(jǐn)慎處理鏈接和信息以及啟用多重身份驗(yàn)證功能，從而增加錢包的安全性。
總之，在鏈上世界，資產(chǎn)安全大于一切。
用戶需要謹(jǐn)記這3條Web3安全規(guī)則：不要在任何網(wǎng)頁(yè)填寫助記詞/私鑰、謹(jǐn)慎點(diǎn)擊錢包交易界面 確認(rèn)按鈕、以及推特/Discord/搜索引擎獲得的鏈接可能是釣魚鏈接。
你可能感興趣的文章
-
坎昆升級(jí)開啟降費(fèi)時(shí)代，如何通過OKX Web3錢包全面探索以太坊和L2生態(tài)？
坎昆升級(jí)開啟降費(fèi)時(shí)代，OKX Web3錢包現(xiàn)已全面支持以太坊和L2生態(tài)，為用戶更好的探索鏈上世界提供了重要基礎(chǔ),那么，如何通過OKX Web3錢包全面探索以太坊和L2生態(tài)？下面一起…
2024-03-18 -
加密資產(chǎn)協(xié)議百家爭(zhēng)鳴，OKX Web3錢包深化一站式體驗(yàn)
擁有強(qiáng)大技術(shù)累積的OKX Web3錢包快速響應(yīng)市場(chǎng)熱點(diǎn)，從用戶需求出發(fā)，打造了一站式交易體驗(yàn)，正成為Web3用戶不可或缺的、以及市場(chǎng)最先進(jìn)的交易工具，從本質(zhì)上改善以上痛點(diǎn)，…
2024-02-23 -
空投6%，一文讀懂OKX Jumpstart項(xiàng)目Web3通信協(xié)議Dmail
1月24日，OKX Jumpstart宣布即將上線新項(xiàng)目Dmail，引發(fā)社交媒體廣泛討論,伴隨去中心化治理的臨近，Dmail有望持續(xù)領(lǐng)跑Web3基礎(chǔ)設(shè)施賽道,本文將帶大家詳細(xì)了解OKX Jumpstart…
2024-01-24 -
歐易OKX Web3錢包現(xiàn)已支持管理全量歷史授權(quán)
據(jù)官方公告，OKX Web3 錢包正式上線全量歷史授權(quán)解析，當(dāng)前已支持Ethereum、OKTC、BNB Chain、Polygon、Avalance C、Fantom、Optimism、Arbitrum One、Gnosis、zkSync Era…
2023-10-24 -
領(lǐng)跑Web3錢包賽道，OKX Wallet 3條核心產(chǎn)品觀
在 OKX Web3 錢包這類領(lǐng)先的 Web3 產(chǎn)品身上、可以非常直觀的感受到創(chuàng)新、以用戶需求為導(dǎo)向等諸多 Web2 時(shí)代所繼承和發(fā)揚(yáng)而來的優(yōu)秀產(chǎn)品觀念,OKX Wallet 3保護(hù)用戶資產(chǎn)安全…
2023-10-17 -
OKX Wallet 如何實(shí)現(xiàn) 7X24 安全值守？
OKX Web3 錢包是在創(chuàng)新和安全層面做的最好的錢包之一，首創(chuàng)多個(gè)獨(dú)家功能同時(shí)，保持了零安全事故記錄，7X24 為用戶資產(chǎn)安全值守,下面一起來看看詳細(xì)介紹吧…
2023-10-12 -
從OKX安全體系談起，捋清Web3錢包與CEX安全的兩大脈絡(luò)
本文將以把安全第一作為產(chǎn)品設(shè)計(jì)第一原理的OKX為樣本，系統(tǒng)化拆解 OKX Web3 錢包與 OKX CEX 的安全體系，從團(tuán)隊(duì)所做、所思與所想中挖掘出 Web3 安全世界里的本質(zhì)問題…
2025-04-18 -
OKX與SlowMist達(dá)成戰(zhàn)略合作 為Web3用戶提供更全方位的安全服務(wù)
這篇文章主要介紹了OKX與SlowMist達(dá)成戰(zhàn)略合作 為Web3用戶提供更全方位的安全服務(wù)的相關(guān)資料,需要的朋友可以參考下本文詳細(xì)內(nèi)容介紹…
2023-04-28 -
OKX Jumpstart:SUI新幣銷售 Web3錢包空投活動(dòng)正式上線
OKX Jumpstart 將于2023 年4 月23 日(UTC+8) 開啟SUI 新幣銷售，活動(dòng)將采用最新的「認(rèn)購(gòu)+抽簽」方式銷售SUI幣，銷售價(jià)格為1 Sui=0.1 美元，支付幣種為OKB…
2023-04-17 -
OKX Web3錢包與NFT借貸協(xié)議ParaSpace達(dá)成官方合作
OKX Web3 官方消息，OKX Web3 錢包與去中心化的 NFT 借貸協(xié)議 ParaSpace 達(dá)成官方合作關(guān)系，用戶可連接 OKX Web3 錢包在 ParaSpace 進(jìn)行 NFT 資產(chǎn)的借貸…
2023-03-31
