- 元宇宙：本站分享元宇宙相關(guān)資訊，資訊僅代表作者觀點與平臺立場無關(guān),僅供參考.
背景
近期，慢霧(SlowMist)受邀參加DeFiHackLabs舉辦的EthereumWeb3SecurityBootCamp。作為演講嘉賓，慢霧安全審計負(fù)責(zé)人Thinking從“偽、餌、誘、攻、隱、技、辨、御”八個章節(jié)，結(jié)合實際案例，帶領(lǐng)學(xué)員深入了解釣魚黑客的作惡方式及隱匿手段，并提出了相關(guān)防范措施。釣魚是行業(yè)重災(zāi)區(qū)之一，知己知彼，才好做好防御工作。本文將提取分享會中的關(guān)鍵內(nèi)容，幫助用戶了解釣魚攻擊的現(xiàn)狀和有效規(guī)避釣魚攻擊威脅。為什么會被釣魚
盜取賬號/高仿賬號
近期Web3項目方/KOL的X賬號被盜事件頻發(fā)，攻擊者盜取賬號后常推廣虛假Tokens，或是在發(fā)布的“好消息”里構(gòu)建相似的域名誘騙用戶點擊。當(dāng)然，也存在域名是真實的情況，因為攻擊者可能接管了項目方的域名。一旦受害者點進(jìn)釣魚鏈接，進(jìn)行簽名或者下載惡意軟件，便會被盜。
除了盜取賬號的方式，攻擊者在X上還常利用高仿的賬號在真實賬號的評論區(qū)留言以誘導(dǎo)用戶。慢霧安全團(tuán)隊曾做過針對性的分析統(tǒng)計：約有80%的知名項目方在發(fā)布推文后，評論區(qū)的第一條留言會被詐騙釣魚賬號所占據(jù)。攻擊者利用自動化機(jī)器人關(guān)注知名項目方動態(tài)，在項目方發(fā)布推文后，釣魚團(tuán)伙的機(jī)器人會自動化第一時間留言以確保占據(jù)第一條留言位置，蹭到高瀏覽量。由于用戶正在瀏覽的帖子是真實項目方發(fā)送的，且經(jīng)過偽裝后的釣魚團(tuán)伙賬號和項目方的賬號高度相似，這時只要用戶警惕性不夠，點擊高仿賬號里空投等名義的釣魚鏈接，然后授權(quán)、簽名，便會損失資產(chǎn)。
邀約釣魚
攻擊者常通過和受害者在社交平臺建立聯(lián)系，向用戶推薦“優(yōu)質(zhì)”項目或者邀請用戶參加會議，引導(dǎo)受害者訪問惡意的釣魚站點，下載惡意的應(yīng)用程序，此前便有用戶因為下載了假Zoom導(dǎo)致被盜的情況。攻擊者使用形如“app[.]us4zoom[.]us”的域名偽裝成正常Zoom會議鏈接，頁面與真Zoom高度相似。當(dāng)用戶點擊“啟動會議”按鈕，便會觸發(fā)下載惡意安裝包，而非啟動本地Zoom客戶端或下載Zoom的官方客戶端。由于惡意程序在運行時就誘導(dǎo)用戶輸入密碼，并且后續(xù)的惡意腳本也會采集電腦中插件錢包數(shù)據(jù)和KeyChain數(shù)據(jù)（可能包含用戶保存在電腦上的各種密碼），攻擊者收集后就會嘗試解密數(shù)據(jù)，獲得用戶的錢包助記詞/私鑰等敏感信息，從而盜取用戶的資產(chǎn)。
TG廣告
近期因為假冒的TGBot而受損的用戶大幅增加，多位用戶報告在使用交易機(jī)器人時，頻道頂部出現(xiàn)了一個新的機(jī)器人，以為是官方新推出的，于是點進(jìn)新機(jī)器人導(dǎo)入私鑰綁定錢包，結(jié)果被盜。攻擊者利用Telegram精準(zhǔn)投放廣告至官方的頻道，引誘用戶點擊。這類釣魚手法隱蔽性較高，由于這個廣告出現(xiàn)在官方頻道，用戶很容易下意識認(rèn)為是官方發(fā)布的機(jī)器人，一旦警惕性不夠，點進(jìn)了釣魚Bot，上傳私鑰進(jìn)行綁定，便會被盜。
APP商城
應(yīng)用商城（GooglePlay，ChromeStore，AppStore，APKCombo等）上的軟件并不都是正版，很多時候商城沒有辦法對軟件進(jìn)行完全的審核。一些攻擊者通過購買關(guān)鍵詞排名引流等方式誘導(dǎo)用戶下載欺詐App，請廣大讀者注意甄別，在下載前，一定要先查看應(yīng)用開發(fā)者信息，確保其與官方公布的開發(fā)者身份一致，還可以參考應(yīng)用評分、下載量等信息。
利用瀏覽器特性
詳情見慢霧：揭露瀏覽器惡意書簽如何盜取你的DiscordToken。防御挑戰(zhàn)
防御策略
釣魚風(fēng)險阻斷插件：如ScamSniffer可以多維度檢測風(fēng)險，用戶在打開可疑的釣魚頁面時，工具會及時彈出風(fēng)險提示。
交互安全性高的錢包：如Rabby的觀察錢包（無需私鑰）、釣魚網(wǎng)站識別、所見即所簽、高風(fēng)險簽名識別、歷史記錄Scam識別等功能。
國際知名殺毒軟件：如AVG、Bitdefender、Kaspersky等。
硬件錢包：硬件錢包提供了一種離線存儲私鑰的方式，使用硬件錢包和DApp進(jìn)行交互的時候，私鑰不會暴露在網(wǎng)上，有效降低資產(chǎn)被盜風(fēng)險。
寫在最后
在Blockchain黑暗森林中，釣魚攻擊無處不在。修行就在起心動念處，需要看好自己的心念，避免于境“起心動念”而不自覺。行走于Blockchain黑暗森林，最根本的是要養(yǎng)成保持零信任和持續(xù)驗證的習(xí)慣，建議大家深度閱讀并逐步掌握《Blockchain黑暗森林自救手冊》：https://github.com/slowmist/Blockchain-dark-forest-selfguard-handbook/。
免責(zé)聲明:慢霧：Web3 釣魚手法解析文章轉(zhuǎn)發(fā)自互聯(lián)網(wǎng)，版權(quán)歸其所有。
文章內(nèi)容不代表本站立場和任何投資暗示。加密貨幣市場極其波動，風(fēng)險很高，可能不適合所有投資者。在投資加密貨幣之前，請確保自己充分了解市場和投資的風(fēng)險，并考慮自己的財務(wù)狀況和風(fēng)險承受能力。此外，請遵循您所在國家的法律法規(guī)，以及遵守交易所和錢包提供商的規(guī)定。對于任何因使用加密貨幣所造成的投資損失或其他損失，本站不承擔(dān)任何責(zé)任。
2025-4-02
2025-4-02
2025-3-29
2025-3-28
2025-3-28
2025-3-13
2025-3-16
2025-3-21
2025-3-13
2025-3-28
Copyright © 2021.Company 元宇宙YITB.COM All rights reserved.元宇宙YITB.COM