# VICOIN-钓鱼网站「入侵」Web3，这份防骗指南请收好（附热门攻击事件盘点） By [VICOINDAO](https://paragraph.com/@vicoindao) · 2022-05-26 --- ![](https://storage.googleapis.com/papyrus_images/ef6674331e5e740f42ce0480b5374b13fad954dce1310983c524e2903145388d.png) 钓鱼网站「入侵」Web3，这份防骗指南请收好（附热门攻击事件盘点） 反钓鱼反诈骗，需要每个人都重视，也需要每个人都参与。 在维基百科定义中，网络钓鱼（Phishing）是一种企图从电子通信中，透过伪装成信誉卓著的法人媒体以获得如用户名、密码和信用卡明细等个人敏感信息的犯罪诈骗过程。 这些通信都声称（自己）来自于风行的社交网站（YouTube、Facebook、MySpace）、拍卖网站（eBay）、网络银行、电子支付网站（PayPal）、或网络管理者（雅虎、互联网服务提供商、公司机关），以此来诱骗受害人的轻信。 网钓通常是透过 e-mail 或者即时通信进行。它常常导引用户到 URL 与接口外观与真正网站几无二致的假冒网站输入个人资料。就算使用强式加密的 SSL 服务器认证，要侦测网站是否仿冒实际上仍很困难。网钓是一种利用社会工程技术来愚弄用户的实例，它凭恃的是现行网络安全技术的低亲和度。 在 web3 世界中，网络钓鱼主要通过 twitter、discord、网站伪造等一系列手段实现，通常在过程中伴随着假托、在线聊天、下饵、等价交换、同情心等社会工程学攻击，让人防不胜防。 ![](https://storage.googleapis.com/papyrus_images/40c611a93fb347dd6ceea258a45ba9669cd3ef7d493b50a6de8461b2e28418dd.png) 本文将揭露其中几种 web3 世界里常见的钓鱼方法，跟我们一起来看看吧。 官方 Discord 被盗，发布钓鱼信息 2022 年 5 月 23 日，MEE6 官方 Discord 遭受攻击，导致账号被盗，官方 discord 群里发布 mint 的钓鱼网站信息。 ![](https://storage.googleapis.com/papyrus_images/67757e406d9d775d27b5cd50b116852448f0c3708cde5249d8a1dd5af182b923.png) 2022 年 5 月 6 日，NFT 交易市场 Opensea 官方 Discord 遭受攻击，黑客利用机器人账号在频道内发布虚假链接，并声称 “OpenSea 与 YouTube 达成合作，点击链接可参与铸造限量 100 枚的 mint pass NFT”。 ![](https://storage.googleapis.com/papyrus_images/8e858570d33f73ed4cf34558a4022c9112b16ccd807cb37b98699f5eaca708a8.png) 近期，官方 discord 遭遇攻击的案例越来越多，经过成都链安安全团队分析，其原因可能有： 项目方员工遭受钓鱼攻击，导致账户被盗； 项目方下载恶意软件，导致账户被盗； 项目方未设置双因素认证且使用弱密码导致账户被盗； 项目方遭受钓鱼攻击，添加恶意书签从而绕过浏览器同源策略，导致项目方 Discord token 被盗。 防骗技巧 1 作为项目方，应采用官方建议的使用双因素认证、设置强密码等安全操作来保护账户；项目方要警惕针对自己的各种传统网络攻击和社会工程学攻击，避免下载恶意软件，避免访问钓鱼网站。　 2 作为 web3 用户，应首先具备这样的意识：官方 discord 账户被盗越来越频繁，官方发布的消息也可能是钓鱼信息，官方不等于绝对安全。此外，在任何需要自己授权或交易的地方都需要谨慎，尽量从多个渠道进行信息交叉确认。 周杰伦遭遇钓鱼攻击，价值百万 NFT 被盗 2022 年 4 月 1 日愚人节，周杰伦在 Instagram 上发文称持有的 BAYC#3738 NFT 已被盗。 ![](https://storage.googleapis.com/papyrus_images/c903e95b57dc1137f85da4ce922edd7e76b09a79ba24fa4aa85daf297779179f.png) 据了解，该 NFT 在今年 1 月由黄立成赠送。在成都链安安全团队的查看之后，发现周杰伦其 0x71de2 开头的钱包地址先去 mint 新项目后遭遇到钓鱼链接，随后在 11 点左右签名了授权（approve）交易，将 NFT 的权限授予了 0xe34f0 开头的攻击者钱包，可能这时候杰伦还没意识到自己的 NFT，已经处于风险之中。 ![](https://storage.googleapis.com/papyrus_images/d5a5f41bbfd323d606a5ae7533b4735b6a8057c28286e986450bea1798b8f564.png) 仅仅过去几分钟，攻击者就在 11:07 将无聊猿 BAYC #3738 NFT 转移到自己的钱包地址中，随后在 LooksRare 和 OpenSea 上将盗取的 NFT 卖掉，获得约 169.6 ETH。 ![](https://storage.googleapis.com/papyrus_images/0c1ae0aa4820632eb87628b7496a94e64b6cabd04c4325044ac5cdff3ec13d88.png) 防骗技巧： 1 作为用户一定不要轻信私聊，攻击者一般会通过私信或邮件来引诱你点击钓鱼网站链接。一切信息先以官网为准，辅助交叉验证，多个渠道验证多份保障。　 2 周董这次中招是在 mint 新项目后，猜测骗子利用刚刚用户 mint 新项目后心情好，警惕放松之后迅速推送钓鱼链接进行攻击，所以用户在反诈上一定不能有任何放松，确保每一步都是安全的。　 Google 广告漏洞置顶的钓鱼网站 2022 年 5 月 10 日，Discord 和加密威胁缓解系统 Sentinel 创始人 Serpent 发推表示，NFT 交易平台 X2Y2 在 Google 搜索页面的首个搜索结果是诈骗网站，它利用 Google 广告的漏洞，使真实网站和诈骗 URL 看起来完全相同，已经有约 100 ETH 被盗。 ![](https://storage.googleapis.com/papyrus_images/978dfe6c961cab9e8da8e7bb2b2b20891aa8897f7d67022c2786a75cc0be1bc4.png) 防骗技巧 1 搜索引擎虽然方便，但不一定为真。搜索引擎的广告系统是很容易被恶意网站利用的，用户尽量通过官方 twitter 或者 Google 认证过的官方网站入口进入。确认官方信息时尽量进行交叉确认。　 2 平常养成注意细节的好习惯，搜索引擎搜出来的结果，如果是广告会有 Ad 字样，避免入坑被钓鱼。　 假机器人伪装成项目方私聊发送钓鱼网站 最近，笔者在关注某一新项目时，从项目官网加入到了官方 discord 社群，加群后按照国际惯例先进行官方机器人身份验证，然而这一条验证消息却是机器人私信发过来的，此时内心有些疑问，但是看到有 “机器人” 的提示标签后，也没多想。 ![](https://storage.googleapis.com/papyrus_images/24c5e4a4186c24a70fe0e0d9684e5fedf9c621388c07797c247650defd3a7b7f.png) 但当我再打开链接的时候，发现它自动唤起了我的 Metamask 钱包，要求输入密码，此时基本确定网站有问题。后经过调试分析发现，该网站并非真正的 Metamask 弹出的，而是虚假网站仿冒的 Metamask 钱包界面。而如果你输入密码，就会要求助记词验证，最后密码和助记词都会发送到攻击者的后台服务器，自此，你的钱包就已经被盗了。 防骗技巧 1 对于 discord 私信一定要提高警惕：官方机器人是不会私信要求验证的，一定要先确认是官方机器人的消息。最好的方法是关闭私信消息。　 2 验证身份过程中，是不会要求连接钱包的。　 3 相信直觉，觉得奇怪或者反常的操作一定要留个心眼，多进行信息的交叉验证。 高仿域名和内容的钓鱼网站 目前笔者在市场上发现了各种各样的假冒网站，它们大多对官方网站进行域名、内容等超高程度的模仿。这种方式应该是网络钓鱼中最普遍的存在的，其归纳分析，其主要有以下几种形式： （1）更换顶级域名，主名不变。[例如下图中官网顶级域名是.com](http://xn--ghq0c25c79is9dvqby5ef1fg43aw39cosb859l.com)，钓鱼网站顶级域名为.fun。 ![](https://storage.googleapis.com/papyrus_images/3583dda0aa1e617e2f6c26fd299842ffa46f4c236f175bf49b0a5906e49de668.png) （2）主名添加单词或符号进行混淆，比如 opensea-office，cyber-kongz 等。 图片 ![](https://storage.googleapis.com/papyrus_images/31675652bd95684925fda895728343109dd59896e4887388e682ca77c539bb2a.png) （3）添加二级域名进行混淆，进行钓鱼欺骗。 ![](https://storage.googleapis.com/papyrus_images/1facfd0d22d7264367fe2d3e9c4bc0bbf31f0cd3562251f238fffa000806996d.png) 防骗技巧 1 进入网站时，找到官方 twitter 或 discord，对链接进行对比，看是否正确。　 2 时刻保持警惕：虽然这类钓鱼网站最容易识别，但是量极其大，用户稍不注意就容易上当受骗。　 3 安装反钓鱼插件，可有效辅助识别一部分钓鱼网站。但最重要还是需要用户有谨慎的态度。 上线了 opensea 的钓鱼项目 笔者前段时间在 opensea 遨游的时候，发现了一个官网还未开售的项目，却在 opensea 上挂牌了 10k，接近 5.4kowner。一时间警惕心大起，仔细分析发现了钓鱼的新套路。这个项目首先利用方式 5 制作了高仿的官网和相似域名，后在 opensea 上线了相似名字的项目，且加上 free mint 等字样吸引眼球。 ![](https://storage.googleapis.com/papyrus_images/1ce48e5778c1f6f9cc146276649563e70720a59af88728b121295d0041f9c3b9.png) ![](https://storage.googleapis.com/papyrus_images/73d60ba5795afcea3485682fb481b8c956f3a60ecd4cefa71f1825690c1a8759.png) 此外，还有些钓鱼网站也会联合钓鱼 twitter 一起进行诈骗： ![](https://storage.googleapis.com/papyrus_images/f2874d79aac8d7b9e098526425fc774781d79d876496ad41ce87a50ecda81f50.png) 防骗技巧 1 注意辨别 twitter 账号。钓鱼大号一般也会有大量的粉丝，但是评论大部分都是僵尸号评分，或者创建日期早，但是近期才活跃等。　 2 Opensea 上线的项目不一定都是官网正版项目，目前上面仍存在不少仿盘和钓鱼的项目，需要用户仔细甄别。　 3 从多渠道获取信息，保证官网、opensea 项目、twitter、discord 等多个信息的交叉验证。也可直接与官方进行联系，验证真假。 真假合约地址 在今年 3 月出现了一种新骗局，也是让人开了眼界。APEcoin 项目的合约地址为： 0x4d224452801ACEd8B2F0aebE155379bb5D594381 而攻击者伪造了前后几位均相同的假合约，联合钓鱼宣传一起进行钓鱼诈骗，假合约为： 0x4D221B9c0EE56604186a33F4f2433A3961C94381 这种攻击方式不多见，但是迷惑性很强。不少有安全意识的人会下意识看下合约地址前后几位是否正常，却几乎不会有人全部记下来的。 ![](https://storage.googleapis.com/papyrus_images/881fbf0cc3e3575ecc612e29c0443256298f7f209098feb10dd30ef97368240a.png) 防骗技巧 1 对于直接对合约地址进行转账交易时，最好全文核对合约地址的正确性。　 2 确认地址是从官方途径正常获取，避免中间被攻击者截获修改。　 补救措施 上述只列举了钓鱼诈骗界常见的手段，而如今在 web3 持续火爆的情况下，钓鱼诈骗的方式层出不穷。用户需谨记上述防骗技巧，尽全力保证自己不被钓鱼诈骗。但是如果万一已经被诈骗，则可以采取下列措施尽可能补救： * 马上进行资产隔离，尽快将剩余资产转移到安全位置，避免更大的损失； * 主动发布声明，告知大家被盗账户的相关信息，避免危及朋友和社区； * 尽可能保留证据，寻求项目方或机构进行后续处理； * 可寻求专业的安全公司进行资金追踪，如成都链安。 最后，建议记录并分享被骗经历，与大家共勉。反钓鱼反诈骗，需要每个人都重视，也需要每个人都参与。 【welcome to join us】 WeChat1：victeam005 WeChat2：shijie20170405 Telegream：[https://t.me/VICOINDAOCHAT](https://t.me/VICOINDAOCHAT) Twitter：@VICOINDAO --- *Originally published on [VICOINDAO](https://paragraph.com/@vicoindao/vicoin-web3)*