什么是區(qū)塊鏈釣魚(yú)攻擊？在區(qū)塊鏈的世界中，用戶的每一步操作都可能直接影響資產(chǎn)安全。隨著技術(shù)的發(fā)展，釣魚(yú)攻擊手法也在不斷升級(jí)，因此我們必須時(shí)刻保持高度警惕，提升自我防護(hù)意識(shí)，避免掉入騙 局。無(wú)論是核實(shí)鏈接、使用安全設(shè)備、開(kāi)啟多重身份驗(yàn)證，還是妥善管理錢包，這些細(xì)小的舉措都能為我們的資產(chǎn)構(gòu)筑起一道堅(jiān)固的防線。

那么區(qū)塊鏈釣魚(yú)攻擊是什么？區(qū)塊鏈釣魚(yú)攻擊怎么防范？下面就和腳本之家小編一起看看吧！

什么是區(qū)塊鏈釣魚(yú)攻擊？

大家可能對(duì)“釣魚(yú)”這個(gè)詞不陌生，最早它指的是那些通過(guò)假冒網(wǎng)站或郵件，誘導(dǎo)人們點(diǎn)擊鏈接然后騙取個(gè)人信息的網(wǎng)絡(luò)詐 騙手段。現(xiàn)在，隨著區(qū)塊鏈和加密貨幣的流行，這種“釣魚(yú)”也演變到了區(qū)塊鏈?zhǔn)澜纭?/p>

區(qū)塊鏈釣魚(yú)攻擊其實(shí)本質(zhì)和傳統(tǒng)釣魚(yú)差不多，都是攻擊者假裝成你信任的對(duì)象，比如某個(gè)你常用的錢包網(wǎng)站、交易平臺(tái)，甚至是你參與過(guò)的項(xiàng)目方。他們會(huì)通過(guò)偽造的鏈接、假冒的社交媒體賬號(hào)，或者看似正規(guī)但實(shí)則有漏洞的智能合約，引誘你輸入私鑰、助記詞，或者簽署一個(gè)惡意交易。結(jié)果呢？你的加密資產(chǎn)就這么不知不覺(jué)被轉(zhuǎn)走了。

舉個(gè)例子，想象一下你在某個(gè)社交平臺(tái)上看到一個(gè)“官方空投”活動(dòng)，里面有個(gè)鏈接，看起來(lái)像你熟悉的錢包網(wǎng)站。你點(diǎn)進(jìn)去輸入助記詞，然后發(fā)現(xiàn)，里面的錢全都沒(méi)了。這就是一個(gè)典型的區(qū)塊鏈釣魚(yú)攻擊場(chǎng)景。

釣魚(yú)攻擊特別狡猾，因?yàn)樗鼈儗ｉT瞄準(zhǔn)那些對(duì)區(qū)塊鏈技術(shù)不是很熟悉、對(duì)防護(hù)措施不夠了解的用戶。很多人都是因?yàn)橐粫r(shí)疏忽，或貪圖小便宜，中了攻擊者的圈套。所以，我們必須對(duì)這些攻擊方式保持警惕，時(shí)刻防范。

那如何識(shí)別釣魚(yú)攻擊呢？這就得從他的原理講起了。

釣魚(yú)攻擊的工作原理

釣魚(yú)攻擊主要有四種方式，分別為虛假空投、誘導(dǎo)簽名、后門工具和上供助記詞。

虛假空投:

攻擊者利用地址生成器生成和用戶錢包地址非常相似的地址（一般是前幾位或后幾位相同），然后往這些地址里多次轉(zhuǎn)入小額的資金（如0.001 USDT），或是攻擊者自己部署的假USDT。這讓用戶誤以為這些地址是之前的正常收款地址。在用戶進(jìn)行新的轉(zhuǎn)賬時(shí)，可能會(huì)復(fù)制歷史交易記錄，誤將資金轉(zhuǎn)入攻擊者的地址，導(dǎo)致資產(chǎn)丟失。

誘導(dǎo)簽名:

攻擊者通過(guò)創(chuàng)建偽造的網(wǎng)頁(yè)，如知名項(xiàng)目的仿冒網(wǎng)站、虛假的空投鏈接或購(gòu)物平臺(tái)，誘導(dǎo)用戶連接錢包并執(zhí)行簽名操作，進(jìn)而竊取資產(chǎn)。

常見(jiàn)的誘導(dǎo)簽名攻擊包括以下幾種：

• 直接轉(zhuǎn)賬

攻擊者將簽名操作偽裝成領(lǐng)取空投、錢包連接等功能，實(shí)際操作是把用戶的資產(chǎn)轉(zhuǎn)到攻擊者的地址。

• 授權(quán)代幣轉(zhuǎn)移

用戶在釣魚(yú)網(wǎng)站上簽署交易，如ERC20的approve調(diào)用或NFT的setApproveForAll，攻擊者得到授權(quán)后可以隨意轉(zhuǎn)移用戶的資產(chǎn)。

• 空白地址授權(quán)釣魚(yú)

空白地址授權(quán)釣魚(yú)是授權(quán)釣魚(yú)的升級(jí)版。用戶點(diǎn)擊釣魚(yú)鏈接進(jìn)行授權(quán)時(shí)（通常也是approve或increaseAllowance），spender的地址是沒(méi)有任何鏈上記錄的空地址，如果受害者簽署授權(quán)，空地址就會(huì)被通過(guò)create2方法部署一個(gè)合約，將受害者的資金轉(zhuǎn)走。采用空白地址授權(quán)可以避免授權(quán)地址被檢測(cè)工具標(biāo)記的情況，從而繞過(guò)一些錢包的安全檢查。

• 零元購(gòu)NFT釣魚(yú)

欺騙用戶簽名 NFT 的銷售訂單，NFT 是由用戶持有的，一旦用戶簽名了此訂單，攻擊者就可以直接通過(guò) OpenSea 購(gòu)買用戶的 NFT，但是購(gòu)買的價(jià)格由攻擊者決定，也就是說(shuō)攻擊者不花費(fèi)任何資金就能“買”走用戶的 NFT。

• eth_sign空白支票（盲簽）

eth_sign也叫盲簽，使用eth_sign簽署任意哈希值，等于給攻擊者開(kāi)了一張空白支票，因此攻擊者可以構(gòu)造任意自定義的交易竊取用戶資產(chǎn)。

• Permit 釣魚(yú)

permit是erc20協(xié)議的一個(gè)擴(kuò)展功能，它允許用戶通過(guò)簽名消息完成授權(quán)操作，并將簽名結(jié)果發(fā)送給另外一個(gè)錢包，這可以完成資產(chǎn)轉(zhuǎn)移操作。通過(guò)誘導(dǎo)用戶簽署ERC20的permit授權(quán)，攻擊者可以獲得轉(zhuǎn)移用戶代幣的權(quán)限。

• personal_sign簽名

personal_sign通常用于簽名可讀的內(nèi)容，但也可以將簽名的內(nèi)容處理成哈希值。

例如：0x62dc3e93b0f40fd8ee6bf3b9b1f15264040c3b1782a24a345b7cb93c9dafb7d8消息，是目標(biāo)明文被keccak256哈希后的結(jié)果。被釣魚(yú)的用戶，看不懂簽名的內(nèi)容，如果進(jìn)行簽名的話，就會(huì)被釣魚(yú)攻擊。

惡意多重簽名：

多重簽名的本意為為了使得錢包更安全，允許多個(gè)用戶共同管理和控制同一個(gè)錢包的使用權(quán)限。

以TRON為例，TRON多重簽名分為了Owner（最高權(quán)限，可以管理權(quán)限和進(jìn)行一切操作），Witness（參與投票管理）和Active（用于日常操作，如轉(zhuǎn)賬或調(diào)用合約），新建賬戶時(shí)，賬戶地址默認(rèn)擁有Owner權(quán)限。

當(dāng)攻擊者通過(guò)釣魚(yú)網(wǎng)頁(yè)/應(yīng)用獲取到用戶私鑰后，攻擊者可以將Owner/Active轉(zhuǎn)移或授權(quán)給自己的地址，注意轉(zhuǎn)移為移除用戶的Owner權(quán)限而授權(quán)則是不移除用戶的權(quán)限，但不論如何，用戶便失去了錢包資產(chǎn)轉(zhuǎn)出的權(quán)利。

由于用戶仍能轉(zhuǎn)入資金，攻擊者可能會(huì)“放長(zhǎng)線釣大魚(yú)”，不會(huì)第一時(shí)間轉(zhuǎn)走受害者資產(chǎn)，直到受害者發(fā)現(xiàn)錢包被惡意多簽，不再轉(zhuǎn)入資金后，攻擊者再轉(zhuǎn)走資金。

后門工具:

• 偽裝成科學(xué)家工具

“科學(xué)家工具”通常是指區(qū)塊鏈生態(tài)中的一些高級(jí)用戶（即所謂的“科學(xué)家”）使用的交易輔助工具，比如用于快速批量鑄造NFT，批量發(fā)送代幣或是快速執(zhí)行某些復(fù)雜的鏈上操作等。這類工具深受一級(jí)市場(chǎng)用戶歡迎，因?yàn)樗鼈兛梢詷O大提高操作效率。

然而，攻擊者會(huì)偽裝成這類工具的開(kāi)發(fā)者，發(fā)布看似合法的工具，實(shí)際上在工具內(nèi)部植入了后門程序。這些后門程序可能在用戶使用工具時(shí)偷偷獲取私鑰或助記詞，又或是直接操控用戶錢包發(fā)送代幣至攻擊者指定錢包，攻擊者隨后就可以通過(guò)這些敏感信息控制用戶的錢包。

• 虛假的瀏覽器插件

許多用戶喜歡使用瀏覽器插件（如MetaMask，Token Pocket）來(lái)方便地進(jìn)行區(qū)塊鏈交易。攻擊者可能會(huì)通過(guò)釣魚(yú)網(wǎng)站誘導(dǎo)用戶安裝假冒的插件。這些插件一旦安裝，會(huì)偷偷記錄用戶的交易行為，竊取私鑰，進(jìn)行多重簽名。

• 交易加速器或優(yōu)化工具

這類工具通常聲稱能幫助用戶加速交易確認(rèn)或優(yōu)化鏈上操作，用戶往往需要輸入私鑰或簽名來(lái)使用這些功能。攻擊者通過(guò)誘導(dǎo)用戶在使用過(guò)程中輸入關(guān)鍵信息，將其偷偷記錄下來(lái)。

上供私鑰/助記詞:

攻擊者會(huì)創(chuàng)建一些偽造的交易網(wǎng)站或Telegram小程序（如偽造的Pepebot），要求用戶提供私鑰或助記詞來(lái)綁定錢包，誘騙用戶進(jìn)行“土狗”交易或其他操作。實(shí)際上，攻擊者通過(guò)這些手段竊取用戶的私鑰，然后轉(zhuǎn)走錢包里的所有資產(chǎn)。

典型案例分析

假空投騙 局：

項(xiàng)目Wormhole發(fā)布空投 公告時(shí)，許多推特模仿官方賬戶發(fā)布假空投鏈接。圖1項(xiàng)目方名稱為@studioFMmilano·1h，圖2假冒項(xiàng)目方為@studioFMmilano，而真正的項(xiàng)目方為@wormhole。

誘導(dǎo)錢包簽名：

冒仿網(wǎng)站簽名：

以moonbirds-exclusive.com/釣魚(yú)網(wǎng)站為例，該網(wǎng)站為模仿www.proof.xyz/moonbirds的冒仿網(wǎng)站，當(dāng)用戶連接錢包并點(diǎn)擊Claim后，會(huì)彈出一個(gè)簽名申請(qǐng)框。此時(shí)，Metamask會(huì)顯示一個(gè)紅色警告，但由于彈窗上并未明確顯示簽名內(nèi)容，用戶很難判斷這是否是一個(gè)陷阱。一旦用戶進(jìn)行了簽名，騙子就可以使用用戶的私鑰簽署任何交易，包括轉(zhuǎn)移資產(chǎn)。

Permit簽名：

某用戶在質(zhì)押期間在釣魚(yú)網(wǎng)站進(jìn)行了Permit簽名，用戶第一時(shí)間去檢查了也沒(méi)發(fā)現(xiàn)異常授權(quán)。釣魚(yú)卻在之后上鏈這筆 permit 離線授權(quán)簽名，給目標(biāo)地址的目標(biāo)資產(chǎn)開(kāi)了個(gè)授權(quán)風(fēng)險(xiǎn)敞口，但目標(biāo)用戶并沒(méi)法知曉，直到目標(biāo)用戶提出相關(guān)再質(zhì)押的 ETH 資產(chǎn)，釣魚(yú)立即轉(zhuǎn)走，因此該用戶丟失了 212 萬(wàn)美金。

圖3.賬戶被permit離線授權(quán)簽名

惡意多重簽名：

惡意多重簽名的釣魚(yú)方法有很多，最常見(jiàn)的為“攻擊者故意泄漏私鑰”或“虛假插件/錢包”

攻擊者故意泄漏私鑰：

攻擊者在社交媒體或通過(guò)其他途徑泄露私鑰，通過(guò)各類話術(shù)誘騙受害者往錢包內(nèi)轉(zhuǎn)入加密資產(chǎn)，直到受害者發(fā)現(xiàn)資產(chǎn)無(wú)法轉(zhuǎn)出后，攻擊者再將錢包資產(chǎn)進(jìn)行轉(zhuǎn)移。

虛假TokenPocket錢包：

受害者在搜索引擎上搜索“TP錢包”并非官方網(wǎng)站下載“TP錢包”。而實(shí)際下載的并非官方錢包，而為攻擊者在互聯(lián)網(wǎng)投放的虛假錢包，用戶綁定助記詞后，受害者的錢包就會(huì)自動(dòng)被多簽，從而無(wú)法將資產(chǎn)轉(zhuǎn)移。

后門工具：

受害者在推特發(fā)現(xiàn)了一個(gè)自稱專做WEB-3“擼毛”及各類腳本開(kāi)發(fā)的博主，受害者下載并運(yùn)行了該博主免費(fèi)贈(zèng)送的腳本，結(jié)果發(fā)現(xiàn)錢包被洗劫一空，失去了價(jià)值700USDT的代幣。

如何預(yù)防區(qū)塊鏈釣魚(yú)攻擊

• 核實(shí)鏈接和網(wǎng)址

在訪問(wèn)任何與加密貨幣相關(guān)的網(wǎng)站時(shí)，務(wù)必核實(shí)鏈接和網(wǎng)址的真實(shí)性。釣魚(yú)攻擊者常常會(huì)創(chuàng)建與官方網(wǎng)站極為相似的假冒網(wǎng)站，僅修改幾個(gè)字符，一但不小心就可能中招。因此，防范的第一步就是：

1.避免點(diǎn)擊陌生鏈接：收到的任何陌生郵件、社交媒體消息或不明來(lái)歷的鏈接都需要格外小心，尤其是那些聲稱來(lái)自“官方”渠道的推廣信息、空投活動(dòng)或賬戶問(wèn)題提示。

2.使用書(shū)簽保存常用的官方網(wǎng)站：訪問(wèn)加密貨幣交易所或錢包服務(wù)時(shí)，建議直接使用瀏覽器中保存的書(shū)簽，而不是通過(guò)搜索引擎查詢，以防誤入釣魚(yú)網(wǎng)站。

• 多重身份驗(yàn)證（2FA）

多重身份驗(yàn)證（2FA）是增加賬戶安全的重要措施之一。在賬戶登錄時(shí)，除了密碼外，還需要額外的驗(yàn)證步驟，通常是通過(guò)手機(jī)短信、身份驗(yàn)證器應(yīng)用程序生成的動(dòng)態(tài)驗(yàn)證碼，來(lái)確認(rèn)身份。

1.開(kāi)啟2FA：務(wù)必為所有支持2FA的加密貨幣賬戶開(kāi)啟這一功能，包括交易所賬戶、錢包應(yīng)用等。即便攻擊者獲取了你的密碼，沒(méi)有2FA的驗(yàn)證碼，他們?nèi)匀粺o(wú)法登錄賬戶。

2.使用身份驗(yàn)證器應(yīng)用：盡量選擇使用Google Authenticator、Authy等身份驗(yàn)證器應(yīng)用，而非短信驗(yàn)證，因?yàn)槎绦趴赡軙?huì)遭遇SIM卡劫持攻擊。

3.定期更新2FA設(shè)備：確保你綁定的手機(jī)或驗(yàn)證設(shè)備是最新的。如果手機(jī)丟失或更換，及時(shí)更新2FA設(shè)備，避免安全隱患。

• 安全意識(shí)培養(yǎng)

區(qū)塊鏈釣魚(yú)攻擊的手法不斷演變，因此必須持續(xù)學(xué)習(xí)和保持安全意識(shí)。

1.關(guān)注安全社區(qū)和新聞：定期關(guān)注區(qū)塊鏈和加密貨幣安全的相關(guān)新聞、博客和社區(qū)論壇，獲取最新的安全資訊和預(yù)警，避免掉入新的釣魚(yú)陷阱。

2.提高警惕：養(yǎng)成在任何敏感操作（如授權(quán)簽名、交易轉(zhuǎn)賬）前仔細(xì)檢查操作內(nèi)容的習(xí)慣，不隨意在陌生網(wǎng)站或平臺(tái)上連接錢包或進(jìn)行簽名操作。

• 錢包安全管理

錢包是加密貨幣的核心存儲(chǔ)工具，妥善管理錢包的安全對(duì)防止釣魚(yú)攻擊起至關(guān)重要的作用。

1.不要泄露助記詞或私鑰：助記詞和私鑰是控制錢包的關(guān)鍵，一旦泄露，攻擊者可以直接獲取錢包中的資產(chǎn)。因此，助記詞和私鑰必須妥善保管，絕不能透露給任何人，也不要存儲(chǔ)在聯(lián)網(wǎng)設(shè)備上。

2.使用冷錢包儲(chǔ)存大額資產(chǎn)：冷錢包是指未連接互聯(lián)網(wǎng)的錢包，通常是硬件錢包，安全性較高。對(duì)于長(zhǎng)期持有的大額資產(chǎn)，建議存放在冷錢包中，以防止在線攻擊。

3.合理使用熱錢包：熱錢包是連接互聯(lián)網(wǎng)的錢包，便于日常交易，但安全性相對(duì)較低。建議將少量的日常交易資金放在熱錢包中，盡量將大部分資金存放在冷錢包里，分散風(fēng)險(xiǎn)。

4.定期備份錢包數(shù)據(jù)：確保錢包助記詞、私鑰或恢復(fù)密碼等信息有可靠的備份。建議將備份信息存放在安全的、離線的地方，如加密的USB設(shè)備或?qū)嶓w紙張。

結(jié)語(yǔ)

在區(qū)塊鏈的世界中，用戶的每一步操作都可能直接影響資產(chǎn)安全。隨著技術(shù)的發(fā)展，釣魚(yú)攻擊手法也在不斷升級(jí)，因此我們必須時(shí)刻保持高度警惕，提升自我防護(hù)意識(shí)，避免掉入騙 局。無(wú)論是核實(shí)鏈接、使用安全設(shè)備、開(kāi)啟多重身份驗(yàn)證，還是妥善管理錢包，這些細(xì)小的舉措都能為我們的資產(chǎn)構(gòu)筑起一道堅(jiān)固的防線。

務(wù)必慎之又慎，莫操之過(guò)急！

以上就是腳本之家小編給大家分享的什么是區(qū)塊鏈釣魚(yú)攻擊？區(qū)塊鏈釣魚(yú)攻擊解析的詳細(xì)介紹了，希望大家喜歡！

你可能感興趣的文章

• 

  區(qū)塊鏈技術(shù)：深度解析與未來(lái)展望

  區(qū)塊鏈技術(shù)自2008年比特幣白皮書(shū)發(fā)布以來(lái)，已經(jīng)從一種簡(jiǎn)單的加密貨幣底層技術(shù)，發(fā)展成為一個(gè)具有廣泛潛力的創(chuàng)新領(lǐng)域,本文將深入探討區(qū)塊鏈的核心技術(shù)、行業(yè)應(yīng)用、面臨的挑…

  2024-10-02
• 

  BNB鏈?zhǔn)鞘裁磪^(qū)塊鏈?解析BNB鏈和DEX的關(guān)系

  這篇文章主要介紹了BNB鏈?zhǔn)鞘裁磪^(qū)塊鏈?解析BNB鏈和DEX的關(guān)系的相關(guān)資料,需要的朋友可以參考下本文詳細(xì)內(nèi)容介紹…

  2023-06-01
• 

  區(qū)塊鏈StarkNet是什么鏈?深度解析StarkNet公鏈

  這篇文章主要介紹了區(qū)塊鏈StarkNet是什么鏈?深度解析StarkNet公鏈的相關(guān)資料,需要的朋友可以參考下本文詳細(xì)內(nèi)容介紹…

  2023-04-03
• 

  深度解析比特幣使用的區(qū)塊鏈屬于什么鏈?比特幣區(qū)塊鏈安全嗎?

  這篇文章主要介紹了深度解析比特幣使用的區(qū)塊鏈屬于什么鏈?比特幣區(qū)塊鏈安全嗎?的相關(guān)資料,需要的朋友可以參考下本文詳細(xì)內(nèi)容介紹…

  2022-11-24
• 

  IEO是什么意思？區(qū)塊鏈IEO的優(yōu)缺點(diǎn)解析

  這篇文章主要介紹了IEO是什么意思？區(qū)塊鏈IEO的優(yōu)缺點(diǎn)解析的相關(guān)資料，我們都知道IPO(首次公開(kāi)募股)、ICO(首次代幣發(fā)行)，也有部分朋友知道IFO(首次分叉發(fā)行)與IMO(以礦機(jī)…

  2021-08-03
• 

  干貨:區(qū)塊鏈相關(guān)疑問(wèn)解析

  這篇文章主要介紹了區(qū)塊鏈相關(guān)疑問(wèn)解析，通過(guò)一系列區(qū)塊鏈的疑問(wèn)解答，讓大家更加清晰的了解什么是區(qū)塊鏈技術(shù)及區(qū)塊鏈與比特幣和金融領(lǐng)域的相關(guān)問(wèn)答知識(shí)分享，下面一起來(lái)看…

  2021-04-06
• 

  深入解析區(qū)塊鏈：它是什么以及有何重要用途

  關(guān)于未來(lái)區(qū)塊鏈技術(shù)走向及形態(tài)變革尚待深度研究,要推動(dòng)其有效推動(dòng)社會(huì)進(jìn)步，需尋求技術(shù)與實(shí)踐的結(jié)合；達(dá)成此目標(biāo)，全社會(huì)協(xié)同發(fā)力至關(guān)重要,唯有如此，方能共筑互信高效的新…

  2024-10-02