加密貨幣交易所 加密貨幣交易所
Ctrl+D 加密貨幣交易所
ads

釣魚網站“入侵”Web3 這些防騙技巧必須學會_NFT:DISC

Author:

Time:1900/1/1 0:00:00

在維基百科定義中,網絡釣魚(Phishing)是一種企圖從電子通信中,透過偽裝成信譽卓著的法人媒體以獲得如用戶名、密碼和信用卡明細等個人敏感信息的犯罪詐騙過程。

這些通信都聲稱(自己)來自于風行的社交網站(YouTube、Facebook、MySpace)、拍賣網站(eBay)、網絡銀行、電子支付網站(PayPal)、或網絡管理者(雅虎、互聯網服務提供商、公司機關),以此來誘騙受害人的輕信。

網釣通常是透過e-mail或者即時通信進行。它常常導引用戶到URL與接口外觀與真正網站幾無二致的假冒網站輸入個人資料。就算使用強式加密的SSL服務器認證,要偵測網站是否仿冒實際上仍很困難。網釣是一種利用社會工程技術來愚弄用戶的實例,它憑恃的是現行網絡安全技術的低親和度。

在web3世界中,網絡釣魚主要通過twitter、discord、網站偽造等一系列手段實現,通常在過程中伴隨著假托、在線聊天、下餌、等價交換、同情心等社會工程學攻擊(詳見維基百科:社會工程學),讓人防不勝防。

本文將揭露其中幾種web3世界里常見的釣魚方法,跟我們一起來看看吧。

安全團隊:釣魚網站盜走2,237枚BNB:金色財經報道,PeckShield監測到釣魚網站攻擊,從流動性提供者的手中轉走2,237枚BNB(76.78萬美元),攻擊者已經將780枚BNB轉移到TornadoCash[2023/4/19 14:13:07]

Phishing

官方Discord被盜,發布釣魚信息

2022年5月23日,MEE6官方Discord遭受攻擊,導致賬號被盜,官方discord群里發布mint的釣魚網站信息。

2022年5月6日,NFT交易市場Opensea官方Discord遭受攻擊,黑客利用機器人賬號在頻道內發布虛假鏈接,并聲稱“OpenSea與YouTube達成合作,點擊鏈接可參與鑄造限量100枚的mint pass NFT”。

近期,官方discord遭遇攻擊的案例越來越多,經過成都鏈安安全團隊分析,其原因可能有:

安全團隊:thesaudinft[.]io是釣魚網站,請勿與之交互:金色財經消息,據慢霧監測,thesaudinft[.]io是釣魚網站,請勿與之交互,一旦點擊認領,用戶的資金和NFT將會被盜。[2022/8/7 12:08:00]

項目方員工遭受釣魚攻擊,導致賬戶被盜;

項目方下載惡意軟件,導致賬戶被盜;

項目方未設置雙因素認證且使用弱密碼導致賬戶被盜;

項目方遭受釣魚攻擊,添加惡意書簽從而繞過瀏覽器同源策略,導致項目方Discord token被盜。

防騙技巧

周杰倫遭遇釣魚攻擊,價值百萬NFT被盜

2022年4月1日愚人節,周杰倫在Instagram上發文稱持有的BAYC#3738 NFT已被盜。

據了解,該 NFT 在今年1月由黃立成贈送。在成都鏈安安全團隊的查看之后,發現周杰倫其0x71de2開頭的錢包地址先去mint新項目后遭遇到釣魚鏈接,隨后在11點左右簽名了授權(approve)交易,將NFT的權限授予了0xe34f0開頭的攻擊者錢包,可能這時候杰倫還沒意識到自己的NFT,已經處于風險之中。

派盾:nycnfts[.]xyz系釣魚網站:6月22日消息,據派盾(PeckShield)監測顯示,nycnfts[.]xyz 系釣魚網站,Yuga Labs 元宇宙項目 Otherside 虛擬地塊 Otherdeed #95904 此前似乎因此已被轉移至地址 0x72D1…c69c9。派盾在此提醒 NFT.NYC 大會及用戶注意相關欺詐風險。[2022/6/22 4:44:55]

僅僅過去幾分鐘,攻擊者就在11:07將無聊猿 BAYC #3738 NFT轉移到自己的錢包地址中,隨后在LooksRare和OpenSea上將盜取的NFT賣掉,獲得約169.6 ETH。

防騙技巧:

Google廣告漏洞置頂的釣魚網站

2022年5月10日,Discord和加密威脅緩解系統Sentinel創始人Serpent發推表示,NFT交易平臺X2Y2在Google搜索頁面的首個搜索結果是詐騙網站,它利用 Google 廣告的漏洞,使真實網站和詐騙URL看起來完全相同,已經有約100 ETH被盜。

AOFEX風險提示:警惕虛假釣魚網站:近期,AOFEX接到用戶舉報,有不法分子通過假冒網址、釣魚鏈接進行非法操作,盜取用戶資金。AOFEX強烈建議用戶不要點擊未知鏈接,注意區分與AOFEX官方網址類似的網址,必要時通過AOFEX官方渠道進行咨詢或驗證,以免泄露賬號、密碼等信息,造成資金損失。再次提醒大家,AOFEX官方不會以任何形式向用戶索要賬號密碼、短信及谷歌驗證碼等信息。請用戶一定認清AOFEX官網地址,警惕虛假釣魚網站。

AOFEX數字貨幣金融衍生品交易所,旨在為用戶提供優質服務和資產安全保障。[2021/1/12 15:59:53]

假機器人偽裝成項目方私聊發送釣魚網站

最近,筆者在關注某一新項目時,從項目官網加入到了官方discord社群,加群后按照國際慣例先進行官方機器人身份驗證,然而這一條驗證消息卻是機器人私信發過來的,此時內心有些疑問,但是看到有“機器人”的提示標簽后,也沒多想。

動態 | BitMEX提醒用戶防范釣魚網站:BitMEX官方發微博稱,最近騙子猖獗,請注意BitMEX的客服渠道只有support@bitmex.com,請不要點擊任何釣魚網站的鏈接,否則會有密碼被盜的風險。建議啟用二步驗證,以保障賬戶安全。如發現騙子,請積極舉報。 ???并附有相關騙局手法截圖。[2019/1/20]

但當我再打開鏈接的時候,發現它自動喚起了我的Metamask錢包,要求輸入密碼,此時基本確定網站有問題。后經過調試分析發現,該網站并非真正的Metamask彈出的,而是虛假網站仿冒的Metamask錢包界面。而如果你輸入密碼,就會要求助記詞驗證,最后密碼和助記詞都會發送到攻擊者的后臺服務器,自此,你的錢包就已經被盜了。

高仿域名和內容的釣魚網站

目前筆者在市場上發現了各種各樣的假冒網站,它們大多對官方網站進行域名、內容等超高程度的模仿。這種方式應該是網絡釣魚中最普遍的存在的,其歸納分析,其主要有以下幾種形式:

(1)更換頂級域名,主名不變。例如下圖中官網頂級域名是.com,釣魚網站頂級域名為.fun。

(2)主名添加單詞或符號進行混淆,比如opensea-office,cyber-kongz等。

(3)添加二級域名進行混淆,進行釣魚欺騙。

上線了opensea的釣魚項目

筆者前段時間在opensea遨游的時候,發現了一個官網還未開售的項目,卻在opensea上掛牌了10k,接近5.4kowner。一時間警惕心大起,仔細分析發現了釣魚的新套路。這個項目首先利用方式5制作了高仿的官網和相似域名,后在opensea上線了相似名字的項目,且加上free mint等字樣吸引眼球。

此外,還有些釣魚網站也會聯合釣魚twitter一起進行詐騙:

真假合約地址

在今年3月出現了一種新騙局,也是讓人開了眼界。APEcoin項目的合約地址為:

0x4d224452801ACEd8B2F0aebE155379bb5D594381

而攻擊者偽造了前后幾位均相同的假合約,聯合釣魚宣傳一起進行釣魚詐騙,假合約為:

0x4D221B9c0EE56604186a33F4f2433A3961C94381

這種攻擊方式不多見,但是迷惑性很強。不少有安全意識的人會下意識看下合約地址前后幾位是否正常,卻幾乎不會有人全部記下來的。

馬上進行資產隔離,盡快將剩余資產轉移到安全位置,避免更大的損失;

主動發布聲明,告知大家被盜賬戶的相關信息,避免危及朋友和社區;

盡可能保留證據,尋求項目方或機構進行后續處理;

可尋求專業的安全公司進行資金追蹤,如成都鏈安。

最后,建議記錄并分享被騙經歷,與大家共勉。反釣魚反詐騙,需要每個人都重視,也需要每個人都參與。

Tags:NFTPENDISDISCNFTPUNK價格PEN幣AimedisDisCas Vision

比特幣行情
DAO、鄧巴數和網絡效應以及治理應該注意什么_DAO:USH

DAO是 Decentralized Autonomous Organizations 的縮寫,是一種組織人類企業的新穎方式,為成員提供更多自由,減少組織障礙,允許貢獻者的流動來去.

1900/1/1 0:00:00
肖颯:Web3.0能否在中國實現合規發展?_WEB:web3.0幣現價多少錢

Web3.0是什么?這個問題也許連在幣圈泡了十幾年的老江湖,也很難在三言兩語間給出一個足夠準確地回答。但在十足混亂的Web3.0概念中筑起了當前最大的共識——區塊鏈技術是實現Web3.0的道路.

1900/1/1 0:00:00
數量、場景、應用 重慶數字人民幣試點發布會說了什么?_數字人:nbs幣官網

移動支付網消息:5月19日,重慶數字人民幣試點新聞發布會召開,向外界透露了重慶數字人民幣試點情況.

1900/1/1 0:00:00
“出席證明”是 Web3 的新身份象征_POA:區塊鏈域名成交

出席證的NFT可以作為展示后臺通行證和活動照片的 Web3 新方法,為品牌提供短期和長期效用。 照片:羅伊羅克林/蓋蒂圖片社隨著實體活動的回歸和虛擬活動的興起,一種新的 Web3 趨勢正在出現:.

1900/1/1 0:00:00
Web3會讓開源的未來更好嗎?_WEB:GINUX價格

“Web3的Token化或許能為開源貢獻者提供一個商業模型,兩者的關聯性的確存在,但形式值得探討” 很多觀點都提到說:Web3和加密技術能解決諸如數據壟斷和算法控制的一系列問題,但是我認為.

1900/1/1 0:00:00
UST脫錨 Terra失控?穩定幣進化史先了解一下_USD:UST

根據CoinMarketCap的數據,TerraUSD作為第四大穩定幣,也是市值第10大的加密貨幣,在上周末經歷了一場巨大的拋售,其價格周一跌至69美分.

1900/1/1 0:00:00
ads