区块链:你的小狐狸和imToken钱包被盯上了？针对主流钱包的攻击、钓鱼正大规模爆发

作者：

时间：1900/1/1 0:00:00

作者：day

近期业内各种钱包安全事件层出不穷：

4月18日，MetaMask钱包开发人员@tayvano_的一条5000枚ETH盗币推文在加密社区广泛传播，认为MetaMask存在漏洞，引起社区恐慌。4月19日，MetaMask回复因其漏洞被盗不实，但正研究此漏洞来源。

4月20日imToken官方提醒近期有分子假冒imToken官方人员，通过发送短信等方式联系用户，诱导用户访问假网站并输入助记词，导致用户遭受资产损失，而4月21日慢雾研究员称谷歌搜索“imToken”后的置顶广告为新型钓鱼网站，请用户切勿点击链接，注意规避风险。

4月22日，TrustWallet发布公告，去年11月14日至23日创建新钱包的地址存在漏洞，为受影响用户创建补偿流程。

随着DeFi、NFT等链上交互需求的爆发，行业早已不像早期那会儿，只要在CEX买coin并放在CEX就可以满足大多数投资者的需求，大多数投资者会将部分甚至全部Token放在自己的钱包里，这也导致了这个行业变成了黑客的天堂、时不时会传出一些投资者因为授权，下载假的APP泄漏私钥或者钱包自身漏洞等问题，导致自己资产被盗，到头来变成一场空，保证自有资产安全已经成为行业内一项必不可少的技能。

接下来，我们将从钱包相关知识、被盗案例以及保护私钥等知识等几个方面来全面了解如何保护区块链资产安全。

钱包相关知识

在保证自己资产安全之前，需要先对业内一些关于钱包等基础知识有一定了解，才能更好的理解如何保护自己的资产。接下来简单介绍下几个相关概念。

《富爸爸，穷爸爸》作者：存好你的黄金、白银和比特币:《富爸爸，穷爸爸》的作者Robert Kiyosaki今日发推称，1971年之后美元成为了负债国。债务让富人更富，让穷人和公司更穷。如果美国债务与GDP之比达到60%就该引起警惕了。如今，美国债务GDP之比已经到了110%，而且还在攀升。美帝正面临破产。债务、美元和贪婪正在摧毁生命和世界经济。存好你的黄金、白银和比特币。[2020/4/2]

1.对称加密与非对称加密

在了解公钥之前，我们先简单了解下密码学中的对称加密与非对称加密。对称加密，是指A通过某种算法，可以得到B，而反过来，B通过相同的算法也可以逆向解密出A，这里加密解密用的是同一种算法；而非对称加密，则是A通过某种算法，可以得到B，但B无法通过相同的算法逆向解密出B，这里的加密解密需要用到不同的算法。

如图，对称加密与非对称加密的区别在于图中消息接收方公钥与消息接收方私钥是否为同一把钥匙。

2.公钥，助记词，地址

了解了对称加密与非对称加密，可以更好的理解一些钱包相关的基本概念。

密钥对：在非对称加密中，有一对密钥对，分别为公钥与私钥，公钥是公开的，私钥是不公开的。

声音 | BB：若你认为比特币单单是一种币那你的想法很危险:今日，Block.one CEO发推表示：“ 如今，若你认为比特币单单是一种币（注：或暗指BSV也算），那你的想法很危险！代币分叉给代币持有者免费送去更多开发团队，他们应该庆祝，而不是惊慌！”[2020/1/15]

公钥：用来给数据加密，用公钥加密的数据只能使用私钥解密。

私钥：私钥可以生成公钥，用来解密公钥加密的数据。

地址：与“公钥”相对应，由于公钥过长，于是有了“地址”，地址由公钥生成。

助记词：与“私钥”相对应，因为私钥是随机生成的字符串，过长且难记，于是催生了一组人类可读的单词代替私钥，用来帮助用户记住私钥，一般是12个无规律的短语。

图源网络：链上交易过程

电子签名：某条信息，这条信息需要你的私钥签名后，广播到区块链上。

签名验证：接收端可以通过你的公钥验证这个消息确实是通过你的私钥签名，那就是你发布的，交易记录上链，因此，谁掌握了私钥，谁就掌握了该钱包。

简单理解，公钥相当于你的账号，而私钥，则相当于你的账号+密码。

用银行卡来类比，公钥=银行账户，地址=银行卡号，密码=银行卡密码，私钥=银行卡号+银行卡密码，助记词=私钥=银行卡号+银行卡密码，Keystore+密码=私钥，。

3.私钥的保存

你的coin并不是存在你的钱包APP中，而是存在区块链网络中私钥对应的地址之中，只要你拥有私钥，就可以通过私钥来登录所有的钱包，钱包仅仅是作为账户资金显示的前端，并不保存你的私钥。

声音 | Kraken总监：面对波动要保持平稳，你的信念将得到回报:Kraken总监Dan?Hedl今天发推特并配文称，“2015年比特币价格跌到200美元的‘绝望之谷’时，我依然坚持长期持有。上周那都不算什么！面对波动要保持平稳，你的信念将得到回报。”[2019/11/25]

如果私钥丢了，意味着你的资产也将丢失，无法通过钱包找回，首次注册钱包时，钱包页面一般也会提醒用户注意这点。这点和我们之前用到的QQ，微信完全不同，如果密码丢失，还可以通过手机验证，问题以及好友验证可以找回，当然，这也是区块链去中心化的魅力所在，你的资产完全属于你自己。

4.钱包种类

根据私钥是否触网，可以将钱包分为热钱包与冷钱包，如上图。

热钱包：客户端钱包、插件钱包、手机端APP。

使用方便，新手易操作，交易转账的效率比较高，安全性较差，容易被盗。

冷钱包：硬件钱包。

安全性高，适合存放大额资产，创建复杂，转账麻烦，硬件损坏或私钥丢失都可能造成数字资产的丢失。

通过以上，我们可以知道，私钥即一切，而我们所有保护资产的措施，其实都是保护私钥，保护私钥，保护私钥。

被盗案例

了解了相关的概念，我们再来看下，目前主要存在哪些丢失的案例，通过案例，我们可以更好的保护我们自己的钱包。

1.私钥泄漏

2021年初，生财有术创始人亦仁，将比特币私钥保存在云笔记中，导致八位数资产的BTC丢失。

声音 | 赵东：强盗逻辑就是我抢你的钱是为了你更有动力赚:今天，赵东微博评论江卓尔之前发的文章《算力战=大佬烧钱，补贴给矿工（兼谈最近行情）》表示，强盗逻辑就是我抢你的钱是为了你更有动力赚钱。江卓尔表示，如果让矿工自由选择的话，理性矿工会不会支持大佬切算力到BCH上烧钱，来提高自己挖BTC的收益？[2018/11/18]

22年11月，分布式资本创始人沈波价值4200万美元的数字资产被盗，被盗资产包括：38,233,180枚USDC、1607枚ETH、719,760枚USDT以及4.13枚BTC。据安全机构慢雾后续分析称，被盗是因为助记词泄漏所导致。

2.私钥丢失

英国IT工程师JamesHowells在2013年弄丢电脑硬盘，里面存有8000枚比特币，9年后，计划花7430万美金翻遍垃圾场来找回电脑硬盘。

3.点击病链接

一用户胡乱点击别人发送的链接，导致黑客读取metamask本地加密备份，所有资产被盗。

火绒团队发出警告挖矿病或已植入你的电脑之中:12月19日，火绒安全团队发出警报，当用户从某网站下载激活工具KMSpico（简称KMS）时，电脑将被植入挖矿病“Trojan/Miner”。病入侵用户电脑后，会利用电脑疯狂“挖矿”（生产“门罗币”），让这些用户电脑沦为他们牟取利益的“肉鸡”。同时，火绒安全团队发现，该网站在百度、谷歌、必应等多家搜索引擎中，搜索结果位置都极靠前。[2017/12/19]

推特KOL点击别人私发链接，导致推特账户被盗，然后发布带空投信息，利用粉丝对KOL的信任点击链接盗走粉丝资产。