木星链 木星链
Ctrl+D收藏木星链

NFT:钓鱼网站“入侵”Web3,这些防技巧必须学会!

作者:

时间:1900/1/1 0:00:00

在维基百科定义中,网络钓鱼是一种企图从电子通信中,透过伪装成信誉卓著的法人媒体以获得如用户名、密码和信用卡明细等个人敏感信息的犯罪过程。

这些通信都声称来自于风行的社交网站、拍卖网站、网络银行、电子支付网站、或网络管理者,以此来诱受害人的轻信。

网钓通常是透过e-mail或者即时通信进行。它常常导引用户到URL与接口外观与真正网站几无二致的假冒网站输入个人资料。就算使用强式加密的SSL服务器认证,要侦测网站是否仿冒实际上仍很困难。网钓是一种利用社会工程技术来愚弄用户的实例,它凭恃的是现行网络安全技术的低亲和度。

在web3世界中,网络钓鱼主要通过twitter、discord、网站伪造等一系列手段实现,通常在过程中伴随着假托、在线聊天、下饵、等价交换、同情心等社会工程学攻击,让人防不胜防。

本文将揭露其中几种web3世界里常见的钓鱼方法,跟我们一起来看看吧。

01Phishing-官方Discord被盗,发布钓鱼信息

2022年5月23日,MEE6官方Discord遭受攻击,导致账号被盗,官方discord群里发布mint的钓鱼网站信息。

《我的世界》Minecraft仍未正式禁止NFT,但重申相关政策没有改变:金色财经报道,自从2022年7月《我的世界》Minecraft宣布计划禁止在玩家运行的服务器上使用NFT后,引发了Web3行业的广泛关注,然而将近一年后该计划目前仍未正式生效,《我的世界》Minecraft官方指南一直没有更新,也没有发布任何后续公告。不过,这项禁止NFT的政策可能即将到来,据一位微软公司代表证实,《我的世界》Minecraft的官方指南更新仍在进行中,(对禁止NFT)的政策并没有改变。另据《我的世界》Minecraft开发商Mojang特别表示,预计将禁止以“门控”或限制访问粉丝运营游戏服务器上某些内容或功能的方式来约束NFT资产使用。(decrypt)[2023/6/10 21:28:38]

2022年5月6日,NFT交易市场Opensea官方Discord遭受攻击,黑客利用机器人账号在频道内发布虚假链接,并声称“OpenSea与YouTube达成合作,点击链接可参与铸造限量100枚的mintpassNFT”。

近期,官方discord遭遇攻击的案例越来越多,经过成都链安安全团队分析,其原因可能有:

ETH 2.0总质押数已超1801.60万:金色财经报道,数据显示,ETH 2.0总质押数已超1801.60万,为18016007个,按当前市场价格,价值约338.73亿美元。此外,目前ETH 2.0质押总地址数已超57.95万,为579515个。[2023/4/8 13:51:31]

项目方员工遭受钓鱼攻击,导致账户被盗;项目方下载恶意软件,导致账户被盗;项目方未设置双因素认证且使用弱密码导致账户被盗;项目方遭受钓鱼攻击,添加恶意书签从而绕过浏览器同源策略,导致项目方Discordtoken被盗。防技巧

1作为项目方,应采用官方建议的使用双因素认证、设置强密码等安全操作来保护账户;项目方要警惕针对自己的各种传统网络攻击和社会工程学攻击,避免下载恶意软件,避免访问钓鱼网站。2作为web3用户,应首先具备这样的意识:官方discord账户被盗越来越频繁,官方发布的消息也可能是钓鱼信息,官方不等于绝对安全。此外,在任何需要自己授权或交易的地方都需要谨慎,尽量从多个渠道进行信息交叉确认。

02Phishing-周杰伦遭遇钓鱼攻击,价值百万NFT被盗

美国第一共和银行:目前所有可用未使用的流动性资金超过700亿美元:金色财经报道,美国第一共和银行(First Republic Bank)透露目前所有可用未使用的流动性资金超过700亿美元,目前正通过从美联储和摩根大通获得额外的流动性,以增强和多样化其财务状况,在新的美联储贷款计划下能够获得更多的资金。上周末美国第一共和银行开始限制资金汇出的电汇交易,同时还表示将完全停止处理电汇交易。[2023/3/13 12:59:47]

2022年4月1日愚人节,周杰伦在Instagram上发文称持有的BAYC#3738NFT已被盗。

据了解,该NFT在今年1月由黄立成赠送。在成都链安安全团队的查看之后,发现周杰伦其0x71de2开头的钱包地址先去mint新项目后遭遇到钓鱼链接,随后在11点左右签名了授权交易,将NFT的权限授予了0xe34f0开头的攻击者钱包,可能这时候杰伦还没意识到自己的NFT,已经处于风险之中。

仅仅过去几分钟,攻击者就在11:07将无聊猿BAYC#3738NFT转移到自己的钱包地址中,随后在LooksRare和OpenSea上将盗取的NFT卖掉,获得约169.6ETH。

Avalanche链上DeFi协议总锁仓量为28.2亿美元:金色财经报道,据DefiLlama数据显示,目前Avalanche链上DeFi协议总锁仓量为28.2亿美元,24小时减少4.62%。锁仓资产排名前五分别为AAVE(11.5亿美元)、TraderJoe(2.22亿美元)、Wonderland (TIME)(2.06亿美元)、Benqi(QI)(1.94亿美元)、Curv(1.53亿美元)。[2022/6/25 1:31:17]

防技巧:

1作为用户一定不要轻信私聊,攻击者一般会通过私信或邮件来引诱你点击钓鱼网站链接。一切信息先以官网为准,辅助交叉验证,多个渠道验证多份保障。2周董这次中招是在mint新项目后,猜测子利用刚刚用户mint新项目后心情好,警惕放松之后迅速推送钓鱼链接进行攻击,所以用户在反诈上一定不能有任何放松,确保每一步都是安全的。

03Phishing-Google广告漏洞置顶的钓鱼网站

2022年5月10日,Discord和加密威胁缓解系统Sentinel创始人Serpent发推表示,NFT交易平台X2Y2在Google搜索页面的首个搜索结果是网站,它利用Google广告的漏洞,使真实网站和URL看起来完全相同,已经有约100ETH被盗。

第三大比特币巨鲸今日增持565枚BTC:6月23日消息,Tokenview数据显示,比特币第三大巨鲸(1P5ZEDWTKTFGxQjZphgWPQUpe554WKDfHQ)于6月23日05:54:30继续增持565枚BTC。目前该地址共持有129,936.54BTC,总价值约为2,643,688,842.84美元。[2022/6/23 1:26:42]

防技巧

1搜索引擎虽然方便,但不一定为真。搜索引擎的广告系统是很容易被恶意网站利用的,用户尽量通过官方twitter或者Google认证过的官方网站入口进入。确认官方信息时尽量进行交叉确认。2平常养成注意细节的好习惯,搜索引擎搜出来的结果,如果是广告会有Ad字样,避免入坑被钓鱼。

04Phishing-假机器人伪装成项目方私聊发送钓鱼网站

最近,笔者在关注某一新项目时,从项目官网加入到了官方discord社群,加群后按照国际惯例先进行官方机器人身份验证,然而这一条验证消息却是机器人私信发过来的,此时内心有些疑问,但是看到有“机器人”的提示标签后,也没多想。

但当我再打开链接的时候,发现它自动唤起了我的Metamask钱包,要求输入密码,此时基本确定网站有问题。后经过调试分析发现,该网站并非真正的Metamask弹出的,而是虚假网站仿冒的Metamask钱包界面。而如果你输入密码,就会要求助记词验证,最后密码和助记词都会发送到攻击者的后台服务器,自此,你的钱包就已经被盗了。

防技巧

1对于discord私信一定要提高警惕:官方机器人是不会私信要求验证的,一定要先确认是官方机器人的消息。最好的方法是关闭私信消息。2验证身份过程中,是不会要求连接钱包的。3相信直觉,觉得奇怪或者反常的操作一定要留个心眼,多进行信息的交叉验证。

05Phishing-高仿域名和内容的钓鱼网站

目前笔者在市场上发现了各种各样的假冒网站,它们大多对官方网站进行域名、内容等超高程度的模仿。这种方式应该是网络钓鱼中最普遍的存在的,其归纳分析,其主要有以下几种形式:

更换顶级域名,主名不变。例如下图中官网顶级域名是.com,钓鱼网站顶级域名为.fun。

主名添加单词或符号进行混淆,比如opensea-office,cyber-kongz等。

添加二级域名进行混淆,进行钓鱼。

防技巧

1进入网站时,找到官方twitter或discord,对链接进行对比,看是否正确。2时刻保持警惕:虽然这类钓鱼网站最容易识别,但是量极其大,用户稍不注意就容易上当受。3安装反钓鱼插件,可有效辅助识别一部分钓鱼网站。但最重要还是需要用户有谨慎的态度。

06Phishing-上线了opensea的钓鱼项目

笔者前段时间在opensea遨游的时候,发现了一个官网还未开售的项目,却在opensea上挂牌了10k,接近5.4kowner。一时间警惕心大起,仔细分析发现了钓鱼的新套路。这个项目首先利用方式5制作了高仿的官网和相似域名,后在opensea上线了相似名字的项目,且加上freemint等字样吸引眼球。

此外,还有些钓鱼网站也会联合钓鱼twitter一起进行:

防技巧

1注意辨别twitter账号。钓鱼大号一般也会有大量的粉丝,但是评论大部分都是僵尸号评分,或者创建日期早,但是近期才活跃等。2Opensea上线的项目不一定都是官网正版项目,目前上面仍存在不少仿盘和钓鱼的项目,需要用户仔细甄别。3从多渠道获取信息,保证官网、opensea项目、twitter、discord等多个信息的交叉验证。也可直接与官方进行联系,验证真假。

07Phishing-真假合约地址

在今年3月出现了一种新局,也是让人开了眼界。APEcoin项目的合约地址为:

0x4d224452801ACEd8B2F0aebE155379bb5D594381

而攻击者伪造了前后几位均相同的假合约,联合钓鱼宣传一起进行钓鱼,假合约为:

0x4D221B9c0EE56604186a33F4f2433A3961C94381

这种攻击方式不多见,但是迷惑性很强。不少有安全意识的人会下意识看下合约地址前后几位是否正常,却几乎不会有人全部记下来的。

防技巧

1对于直接对合约地址进行转账交易时,最好全文核对合约地址的正确性。2确认地址是从官方途径正常获取,避免中间被攻击者截获修改。

补救措施

上述只列举了钓鱼界常见的手段,而如今在web3持续火爆的情况下,钓鱼的方式层出不穷。用户需谨记上述防技巧,尽全力保证自己不被钓鱼。但是如果万一已经被,则可以采取下列措施尽可能补救:

-马上进行资产隔离,尽快将剩余资产转移到安全位置,避免更大的损失;

-主动发布声明,告知大家被盗账户的相关信息,避免危及朋友和社区;

-尽可能保留证据,寻求项目方或机构进行后续处理;

-可寻求专业的安全公司进行资金追踪,如成都链安。

最后,建议记录并分享被经历,与大家共勉。反钓鱼反,需要每个人都重视,也需要每个人都参与。

标签:NFTCORDISCSCOCNFTCordiumgenesischainUSCO币

以太坊价格热门资讯
EARN:穿透X-To-Earn庞氏体系:在财务、团队控制和效用间寻找平衡

TLDR:1.X-to-earn在经济系统和组织结构上都不同于Web2的庞氏架构;庞氏这个词并不总是表示局.

1900/1/1 0:00:00
UST:UST暴跌最低0.67美元,Terra锚定机制受到质疑

市值第三大稳定币TerraUSD(UST)似乎陷入了灾难性的局势,它已经与美元脱钩,在5月10日跌至0.67美元.

1900/1/1 0:00:00
元宇宙:元宇宙土地报告:如何打造虚拟经济系统?

随着NFT、GameFi暴发,元宇宙正在积累发展势能。作为元宇宙生态中的重要板块,虚拟土地/地产的发展势头也在显现.

1900/1/1 0:00:00
WEB3:为什么说加密钱包是Web 3活动入口?

基础设施是创新的底层,上层应用又是依托底层技术成长并检验底层技术是否可行的必要件,目前加密市场中,去中心化应用数量可观,且一直增长中,已形成了不同的细分赛道.

1900/1/1 0:00:00
THE:详解 Yuga Labs 元宇宙项目 Otherside 如何能连接一切?

KeyTakeaway近日,BAYC、MAYC、ApeCoin等YugaLabs旗下项目都有较大程度涨幅,为Otherside营造了不错的市场开局.

1900/1/1 0:00:00
UST:Terra真的失败了吗?

市场已经证明,Terra是一个不成熟的公链生态建立持久稳定币机制的失败尝试,伴随着大规模的欺诈。这不是TerraLuna的UST第一次从其美元挂钩上掉下来.

1900/1/1 0:00:00