# 我曾以为只要我跑的足够快，骗子就骗不了我 By [issmall](https://paragraph.com/@icatsay) · 2022-07-12 --- 虽然我的 Twitter 账号注册了也有十几年了，但是基本都只是偶尔上来看看而已，最近才开始真正启用。 在关注了一批币圈的 Twitter 账号之后，骗子也紧随而来，相信经常使用 Twitter 的大家也经常能看到类似的私信： ![](https://storage.googleapis.com/papyrus_images/d58da00600393a965e4aa35a6a7f0f225b84b6fef458cbf045beaab9057ac1c6.png) ![](https://storage.googleapis.com/papyrus_images/384c4e88ad09e4035fef0d6cb5a462ae6df9e59934ecb368746331ff4c3ccb1b.png) ![](https://storage.googleapis.com/papyrus_images/20c917631fa788f4d6c9acf0da49dc28cfe0cec509e4c775276ee036e764ace0.png) 等等等等等等等，有长有短，大致都是一个模式，取不出钱，私钥是啥啥啥，助记词是啥啥啥，巴拉巴拉，就不一一截图了，而且有一个共性——都是 Tron 链上的。 自认为对以太坊（Tron 跟以太坊有很多类似的地方）还算了解的我骄傲的认为，这种骗术无非就是假合约或者缺 gas，但是后来仔细想想，如果用假合约很容易被识破，而且怎么才能骗到我的钱呢？ 那么，真相只有一个！他要骗我手续费！等我把当作 gas 的 TRX 转入这个账号，他就把 TRX 转走！对！就是这样！ 那么，理论上只要我的速度够快，就可以趁骗子不备把 USDT 转走，薅骗子羊毛！对！就这样！替天行道！把私信里的骗子都薅一遍，从此走上人生巅峰！ ![](https://storage.googleapis.com/papyrus_images/1a978c02819f740c732c6c04e796dfe22d83d5754dbb64707feac930728afbec.gif) 于是我准备开始写程序，大致流程是这样： * 从自己的地址向骗子账户转入几个 TRX * 同时通过骗子的私钥签名一笔交易，将 USDT 转入我的地址 但是这些不负责任的骗子只给了我私钥和助记词，并没有给我地址，所以我将私钥导入到钱包 app 中查看地址： ![](https://storage.googleapis.com/papyrus_images/424888d5ab9c0f931f69cbd9b5490792ec94287cb093ad379929539a42fbb105.jpg) 导入私钥之后，在钱包首页我看到了一些币种及余额： ![](https://storage.googleapis.com/papyrus_images/00cda0e24f4f8eb82edd1061aef32f92ef6f0377b46e11a4cd0a2e30cb540763.png) 1006 USDT 和 1.095 TRX，人要发财的时候老天都帮你，这还转个屁 TRX 啊，写个屁程序啊，直接转！替天行道！ 填入自己的地址： ![](https://storage.googleapis.com/papyrus_images/c279d80635d3730de31d4485195c51534ff69fa788f1b55677d67486dd867ba3.png) ![](https://storage.googleapis.com/papyrus_images/71f6f97a1a0f372de13c95e3c89759ac716e212f4ec8e3293f241790611af1e1.png) 预估网络费这么低，真是老天爷眷顾！等我把“确认支付”点了，再数个密码，我就得到了 1006 USDT！白捡的钱！傻逼骗子！把本钱都折里面了吧！哈哈哈！ ![](https://storage.googleapis.com/papyrus_images/0c85782f3abb6d8cc18a565d7d300fc5e566a1e2dde4a34275bfd87893de6f7a.gif) 我都已经开始盘算这笔钱该如何花（我左手一个诺基亚，右手一个摩托罗拉：如果你能唱出来就暴露年龄了），以及如何去薅下一个骗子的羊毛了。 ![](https://storage.googleapis.com/papyrus_images/4f08107babc5ce6c041a66858cb21265a357546f9de31f619eb133dd046136e4.png) ![](https://storage.googleapis.com/papyrus_images/649c636f909bbfe088806e077fcbb4bde66d9ded41650ec6a1c934244d5ab5a1.jpg) Excuse me？？？？？这是个啥？？？？？签名错误？？？？？这是什么高科技？？？？？以太坊上没见过这架势啊！煮熟的鸭子飞了？？？？？ ![](https://storage.googleapis.com/papyrus_images/c62168157ffc72de5da01a7235545eda4bc79f29b58558bfabe44d522da178bc.jpg) 区块链骗局！！！！！ 我复制了这个地址去 [TronScan](https://tronscan.org/#/address/TBwhuNzoB1iMGPWALMDcutMMjQMpgaGT9h) 查了一下： ![](https://storage.googleapis.com/papyrus_images/24fc96784e5b0ff9bf035804542fd470cc7637e275ec0c08a71b8da23ec30adf.png) 这个地址是可以转出的，只不过都转入了同一个地址：TRJNFfpZio9fkW2YjBffoHTmhRAMij2QPe 但是并不重要，问题应该还是出在这个地址本身。 然后我注意到与“交易记录”同级别的标签项中有一个“账户权限”，这他妈又是个啥？？？？？ ![](https://storage.googleapis.com/papyrus_images/1e8c0811f85e4ac0e8fe985f90fcd1894ac0b23ff5b943fd2779c713f30ad294.jpg) ![](https://storage.googleapis.com/papyrus_images/78c6324153b039f4efbaa32ef0685518f972cc99e83e2579ab2bb5949df42c46.png) 从中可以看出：拥有者和活跃权限都属于：TWYwbCfYGzzpPha7xvoCXD2hDVPMHsw19C，其中就包括 TRX 转账和合约转账的权限。 右上角的“[查看多签权限介绍](https://cn.developers.tron.network/docs/multi-signature)”给指了条明路，原来 Tron 上的 EOA 地址可以通过更改账户权限来实现多签，当然，你也可以将某个地址的操作权限转让给其他地址，这样，即便是你拥有该地址的私钥，也不能对该地址进行任何的操作。 从交易记录中筛选“交易类型”为“更新账户权限”可以看到两条交易记录： ![](https://storage.googleapis.com/papyrus_images/d1db5033cda15c581015743bf682deac70c0327175f0f107f5b566174eb583ba.png) 对应的哈希分别为： * [4b92a81aa04b33512c3362d7750f8f66e37219818f585c6c6c98d71f62c5c808](https://tronscan.org/#/transaction/4b92a81aa04b33512c3362d7750f8f66e37219818f585c6c6c98d71f62c5c808) * [9ea7df8bb67ed5b82e414f29e1e21960f29e483ff4d217768f88daf864336522](https://tronscan.org/#/transaction/9ea7df8bb67ed5b82e414f29e1e21960f29e483ff4d217768f88daf864336522) 其中第一笔将地址的活跃权限转让给了地址：TWYwbCfYGzzpPha7xvoCXD2hDVPMHsw19C，而第二笔直接将拥有者权限转让给了：TWYwbCfYGzzpPha7xvoCXD2hDVPMHsw19C 从此，私钥失去了对该地址的控制权。同时，意味着想薅骗子羊毛是不可能的，跑的再快也没用。我还是没能借由骗子实现暴富的梦。 ![](https://storage.googleapis.com/papyrus_images/261a08651d17b33668b5afb298e14491fecce85c3e15708333d21d25ce6407f2.jpg) 那么如何修改一个地址的账户权限，我也拿去骗人呢？ 使用钱包打开 TronScan，点击右上角的三个横线，可以打开菜单，选择 Wallet： ![](https://storage.googleapis.com/papyrus_images/0dfa0333be32fcb5f53216fe6f04da53a7341cdff84ceb0954eb42a2b1e95f61.jpg) 点击你的地址可以直接跳转到你地址的页面： ![](https://storage.googleapis.com/papyrus_images/0dde4d63ef7d3ed3e2ab12512dd1a84be0cc49590bfeaa851585a41ab8277ede.png) 选择 “Account” 标签页，可以看到 “Access Settings” 和 “Owner Permission” 都有编辑按钮，然后在输入框里填入一个你所控制的地址，然后签名一笔交易即可实现。 以上便是我对这种骗局的分析，希望大家引以为戒，不要贪图小便宜、大便宜、各种便宜，虽然不便宜的也未必不是骗局。熊市了，分散的资金收一收，免得竹篮打水一场空。 同时，我劝，看完这篇文章的你们，耗子尾汁，好好反思，以后不要再耍这种聪明，小聪明啊！不要走上违法犯罪的道路。 ![](https://storage.googleapis.com/papyrus_images/abc40cadd41f62befaf7c34b4648b4cf3c607da5a218262e3cfa9e71817e6f61.jpg) 更多区块链安全的知识可以参考[余弦@慢雾安全团队](https://twitter.com/evilcos)的[《区块链黑暗森林自救手册》](https://darkhandbook.io/)（老板，打钱！） 就到这里，散会！ 广告 == 你可以通过这些方式找到我：[https://linktr.ee/issmall](https://linktr.ee/issmall) --- *Originally published on [issmall](https://paragraph.com/@icatsay/MDhG7gif6rftHdIFROrz)*