BSP:揭秘2022年六大加密术

作者：

时间：1900/1/1 0:00:00

本文来自币安安全合作伙伴 HashDit ，原文作者：Sebastian Lim

自去年起，加密案件就屡增不减。据 CNBC 报道， 2021 年，加密损失超过 10 亿美元，其中最常见的类型包括虚假投资和杀猪盘。而到了 2022 年，加密的手法更加让人眼花缭乱。

以下是 2022 年最常见的六种加密局。

网络钓鱼是 Web2 中子常用的一种手法。子创建一个恶意网站，然后大量发送链接给他们的受害者。在这里，我们将主要关注子窃取私钥的方法。

在 Web3 中，子通常通过不同的媒介将他们的钓鱼链接发送到 Web3 社区，如 Discord、Twitter、Telegram，甚至是链上。

钓鱼网站通常与真正的网站非常相似，但使用不同的 URL 名称。网站内容可能是新的 Giveaway 或 NFT 免费铸造，子利用投资者的 FOMO 心理将用户玩弄于股掌之中。

他们可以明目张胆地要求用户提供他们的助记词或私钥。例如，在社交媒体上联系用户，以钱包软件支持服务的身份联系用户，并以交易所支持的身份直接发送信息，窃取用户私钥。

另一种方法是，子会开发类似于 Metamask 等合法插件的 Chrome 扩展。通过模拟真实的应用程序，让用户放松警惕，提供自己的私钥来使用新应用程序。

子会试图让用户认为现有的应用程序有一个新的漏洞，并且有新的软件升级。如子试图让用户以为当前的 Metamask 版本存在漏洞，用户应该升级到新版本。然后在消息中宣称新的升级还没有完成，必须手动进行升级。随后，子会给出一组指令，诱用户提供 Metamask 密码，从而将其私钥暴露给子。

以太坊核心开发者会议：讨论EIP-4844和L2 EIP，预计接下来会议确定坎昆升级范围:5月12日消息，以太坊核心开发者 Tim Beiko 发推总结最新一次的执行层会议讨论内容，本次会议讨论大部分都集中在 EIP-4844 上，并对 L2 EIP 进行了一些简要讨论，以及 Cancun 整体计划。

MarioVega.eth 提出了一个关于区块有效性条件的问题，该条件由某些客户端隐式实现，但不是全部。我们同意将此作为明确的有效性条件。此外，Geth 团队正在增加对 c-kzg 和 go-kzg 的支持，以允许用户在遇到错误时轻松切换。会议还讨论了两个 EIP，其中一个包括 EIP-6969（在以太坊 L2 上引入 / 标准化 CSR 的提议）。Tim Beiko表示，希望在接下来的一两次会议中可以最终确定升级的范围。[2023/5/12 14:58:42]

在这种情况下，用户应该继续等待 Metamask 的官方公告，并从官方来源升级他们的 Metamask 版本。

要升级扩展，只需转到 chrome://extensions/，单击更新按钮，如下图。

友情提醒：正常的应用程序升级不需要用户提供登录凭证等敏感信息。

Ice Phishing 是一种用户签署交易的策略，攻击者可以控制用户的代币，但又不获取用户的私钥。这是网络钓鱼技术的新手段。

在某些背景下，当用户使用 DeFi 应用程序（例如 PancakeSwap）并与主代币标准（例如 ERC-20、ERC-721 和 ERC-1155 ）交互时，批准方法会显示在他们的 Metamask 窗口中。这是用户向第三方授权以代表该用户对这些代币进行操作的请求。之后，用户可以执行其他操作，如执行交易。

CZ：个人实际上并不参与任何上币工作:5月1日消息，Binance创始人CZ在Twitter Space中发言表示，Binance的上币过程我本人并不参与，Binance上也有很多我不能理解的项目，上币第一标准的是用户数量。我们会看Token经济学，我们不喜欢流通量很小的Token。从用户的角度来说，不能保证任何特定的Token都能上架Binance，也没有保证说一定不上线某个Token。Binance有一个独立的团队来对上币进行评估。[2023/5/1 14:37:30]

攻击者会将用户引导到钓鱼网站，诱使他们签署一些他们没有申请的交易。例如，交互的合约可能是攻击者的地址。一旦批准交易完成，攻击者就有权将代币从受害者的钱包中转出。

通常，网站有一种算法来扫描受害者的钱包，目的是检测有价值的资产，如昂贵的 BAYC NFT 或 wBTC/wETH 等加密货币。通常，网站会不断显示 Metamask 窗口，提示用户签署另一笔交易，即使他们可能已经签署了一次。

防止成为 Ice Phishing 受害者的另一种方法是远离签署 eth_sign（空白支票）交易。通常如图所示：

eth_sign 是一种开放式签名方法，允许对任意哈希进行签名，它可以用于对不明确的交易或任何其他数据进行签名，这是一种危险的网络钓鱼类型。

这里的任意哈希意味着对“批准”（approve）或“批准一切”（approve for all）等操作保持警惕还不够，子可以让你签署原生代币转移或合约调用等交易。子几乎可以完全控制你的帐户，而不用持有你的私钥。

Iris Energy关停部分矿机以作1.078亿美元债务的抵押品:金色财经报道，比特币矿企 Iris Energy 在周一向美国证券交易委员会提交的一份文件中表示，已经拔掉了部分矿机的电源，以作为其 1.078 亿美元违约贷款的抵押品。该公司表示，在机器价格急剧下跌的时候， Iris释放了大约 90 兆瓦的容量，其数据中心容量和开发业务将“不受”此举的影响。

文件显示，截至10月31日，Iris拥有5300万美元的现金和现金等价物。[2022/11/22 7:53:43]

尽管 MetaMask 在签署 eth_sign 请求时会显示风险警告，但当与其他网络钓鱼技术结合时，没有安全经验的用户仍有可能落入这些陷阱。

Event 手法

Event 是子将随机的 BEP 20 代币转移给用户的策略，并提示用户与之交互。即使子是从 BscScan 等区块链浏览器转移代币，它也会显示资金来源来自一个单独的钱包，例如币安热钱包。然后，用户将被诱与这些新的“免费”代币进行交互，通过在代币名称或代码本身中显示链接，可以将用户引导到钓鱼网站。这是网络钓鱼技术的新手段。

这种方法利用了区块链浏览器显示 Event 的方式。

例如，这张来自 BscScan 的截图显示 CHI 从 Null Address 发送到地址 0x7aa3……

富达调查：74%的机构计划购买加密货币:金色财经报道，根据富达数字资产周四发布的第四次年度机构投资者数字资产研究，富达发现58% 的受访投资者表示在2022年上半年拥有数字资产，同比增长6个百分点。亚洲的数字资产所有权最高，该地区 69% 的机构报告在该领域进行了投资。欧洲（69%）和美国（42%）的这一数字较低，尽管这些数字分别比一年前上升了 11 个百分点和 9 个百分点。??总体而言，全球数字资产使用率最高的是风险投资基金（87%），其次是高净值个人（82%）和顾问（73%）。

此外，在接受调查的人中，35% 的人表示他们购买持有加密货币的投资产品，30% 的人购买持有数字资产公司的投资产品，20% 的人通过期货合约获得敞口。?74%的受访机构表示他们计划在未来购买数字资产。[2022/10/27 11:49:14]

区块链浏览器将盲目地使用 emit event（发送事件）的参数。如果_from 地址被更改为另一个地址，例如 0xhashdit，那么 BscScan 将显示从 0xhashdit发送到接收地址的 CHI。

注意：这并不是区块链浏览器特有的 bug，而是更改参数的灵活性，因为 BscScan 不能确定参数是否准确。因此，子可以利用这一点来代币的来源。

NFT Sleep Minting

NFT Sleep Minting 是指子直接在著名创作者的钱包里铸造 NFT，并从创作者的钱包中回收 NFT。a16z 在 3 月的时候发文解释改 NFT 新术。

NFT Sleep Minting 创造了一种假象：

著名的创作者为自己铸造了一个 NFT；

NFT研究员：Magic Eden生态系统建设将会再次慢慢升值:8月7日消息，NFT研究员OttoSuwen发推表示，随着OP的（TVL）强势回归，预计Magic Eden生态系统中的所有东西都会再次慢慢升值，Arbitrum赛季也会很快到来。[2022/8/7 12:07:45]

将 NFT 发送给子。

根据“链上”的来源，子可以声称自己拥有由著名创作者铸造的 NFT，并以更高的价格出售，在这个过程中伪造价值。

例如，从 Beeple 的账户中可观察到他的几个 NFT 不是由他铸造的。

庞氏局使用新投资者的钱支付给老投资者。一旦没有更多的新资金来支持这个计划，整个系统就会崩溃。

加密庞氏局有几个标志：

首先，项目方收取税费，这些税费可以让用户在生态系统中停留更长时间。

由于每次存款/复利操作都会产生某种费用，这意味着用户必须复利较长一段时间才能收支平衡。这些费用还用于偿还希望索赔的用户的红利。

第二，无法提取用户的初始投资资金。

一旦用户存入了他们的初始代币，他就没有办法提取他的初始投资资金。用户要拿回任何资金的唯一方法是收回股息。

第三，使用介绍人机制。

该项目鼓励参与者通过推荐人福利积极推广和推荐他人。每当下线执行特定的操作时，上线将获得额外的奖励。此外，为了让用户开始参与协议，他必须有一个上行地址才能开始。这创建了一个系统，每个地址都连接到另一个地址，类似于金字塔奖励方案（）。拥有 5 个以上的下线地址也会增加奖金。

常见的方式是一开始就锁定在合约中的资金急剧增加，通常是由团队通过营销进行的初始炒作或团队自己为创造活动而注入的资金推动的。一旦合约余额达到拐点，这意味着没有新的资金流入。这将慢慢导致该计划分崩离析，新投资者恐慌地尽可能多地收回股息。

最终，仅赚取税费的项目方将是此类庞氏局项目的最大受益者。

CHI Gas Token 是 1inch项目的一个方案，其中 CHI Gas Token 是一个 BEP20 代币，用于 1inch 交易所支付交易成本。CHI 与该网络的 gas 价格挂钩。当 gas 价格低时，CHI 价格也低，反之亦然。

子首先会空投一堆随机的 BEP20 代币。当用户批准 PancakeSwap 出售这些代币时，在这些代币的批准（approve）方法中，它将代码写死（hard coded：把数据直接写在代码里，不会根据输入而改），从而消耗大量（例如超过 90% ）用户的 gas 限制来铸造 CHI Gas Token，可以用来补贴 gas 费，铸造的 CHI Gas Token 则是子的利润。

建议在某些空投代币中调用 approve 函数之前，注意审批交易中的 gas 费消耗情况。一般来说，不要碰空投给你的随机代币。

MEV 局

子会利用 MEV（最大可提取价值）、套利交易机器人、狙击机器人、抢跑机器人等加密工具，承诺每天能获得几千美元的被动收入，吸引用户参与。这些通常在推特、TikTok 和区块链浏览器等平台上推广。

通常，子会在帖子上附加一个视频链接，将上当的用户引流到 Youtube 和 Vimeo 等视频托管平台。

视频将引导用户使用 Remix IDE 部署他们的恶意代码，子将在视频描述中的 pastebin URL 中提供恶意代码。

当恶意代码部署在链上后，用户将被指示下一步准备一些本地资金来执行“抢跑或套利交易”。视频会提示用户准备更多的原生资金，这样当你执行“抢跑或套利交易”操作时，你就能获得更多的利润，从而用户。一旦用户将资金注入到合约中并“开始抢跑交易”，资金将直接转移到子手中，而不是像子声称的那样赚取利润，

另一种相对较新的方式是子提供 CEX 交易机器人的链接，如下图。

系统会提示用户下载恶意文件并按照提示操作。通常，想要在币安交易所自动交易的用户会有一个 API 私钥。这个视频诱用户使用他们的交易机器人，并要求用户放弃他们的 API 私钥和密码。一旦用户从而入套，子将能够在他们的终端接收用户的凭证，并使用用户的资金进行交易。

虚假名人局

子还利用社交媒体，传播加密交易所或项目等领域知名玩家正在进行 Giveaway 的虚假信息。

用户将被提示进入这个链接，并被指示先“验证”他们的地址。为此，他们必须向指定地址发送一些比特币或 BNB，并将得到 10 倍回报。与此同时，该局网站显示了 Giveaway 记录的交易历史，让用户相信 Giveaway 是真实且有效。然而在现实中，一旦用户发送加密货币，代币就进入子口袋，最终也不会收到任何奖励。

通常情况下，子可能会利用旧视频，甚至采取伪造知名人物的手段，让用户认为这个人是在支持和推广一个新的 Giveaway，但实际上并不存在。

这些案例的一个共同点是，视频的评论区会出现虚假的评论。这是在心理上用户，让他们相信这个交易机器人真的很好用。