慢霧：Web3 釣魚手法解析
背景
近期，慢霧(SlowMist)受邀參加DeFiHackLabs舉辦的EthereumWeb3SecurityBootCamp。作為演講嘉賓，慢霧安全審計負責人Thinking從“偽、餌、誘、攻、隱、技、辨、御”八個章節，結合實際案例，帶領學員深入了解釣魚黑客的作惡方式及隱匿手段，并提出了相關防范措施。釣魚是行業重災區之一，知己知彼，才好做好防御工作。本文將提取分享會中的關鍵內容，幫助用戶了解釣魚攻擊的現狀和有效規避釣魚攻擊威脅。為什么會被釣魚
盜取賬號/高仿賬號
近期Web3項目方/KOL的X賬號被盜事件頻發，攻擊者盜取賬號后常推廣虛假Tokens，或是在發布的“好消息”里構建相似的域名誘騙用戶點擊。當然，也存在域名是真實的情況，因為攻擊者可能接管了項目方的域名。一旦受害者點進釣魚鏈接，進行簽名或者下載惡意軟件，便會被盜。
除了盜取賬號的方式，攻擊者在X上還常利用高仿的賬號在真實賬號的評論區留言以誘導用戶。慢霧安全團隊曾做過針對性的分析統計：約有80%的知名項目方在發布推文后，評論區的第一條留言會被詐騙釣魚賬號所占據。攻擊者利用自動化機器人關注知名項目方動態，在項目方發布推文后，釣魚團伙的機器人會自動化第一時間留言以確保占據第一條留言位置，蹭到高瀏覽量。由于用戶正在瀏覽的帖子是真實項目方發送的，且經過偽裝后的釣魚團伙賬號和項目方的賬號高度相似，這時只要用戶警惕性不夠，點擊高仿賬號里空投等名義的釣魚鏈接，然后授權、簽名，便會損失資產。
邀約釣魚
攻擊者常通過和受害者在社交平臺建立聯系，向用戶推薦“優質”項目或者邀請用戶參加會議，引導受害者訪問惡意的釣魚站點，下載惡意的應用程序，此前便有用戶因為下載了假Zoom導致被盜的情況。攻擊者使用形如“app[.]us4zoom[.]us”的域名偽裝成正常Zoom會議鏈接，頁面與真Zoom高度相似。當用戶點擊“啟動會議”按鈕，便會觸發下載惡意安裝包，而非啟動本地Zoom客戶端或下載Zoom的官方客戶端。由于惡意程序在運行時就誘導用戶輸入密碼，并且后續的惡意腳本也會采集電腦中插件錢包數據和KeyChain數據（可能包含用戶保存在電腦上的各種密碼），攻擊者收集后就會嘗試解密數據，獲得用戶的錢包助記詞/私鑰等敏感信息，從而盜取用戶的資產。
TG廣告
近期因為假冒的TGBot而受損的用戶大幅增加，多位用戶報告在使用交易機器人時，頻道頂部出現了一個新的機器人，以為是官方新推出的，于是點進新機器人導入私鑰綁定錢包，結果被盜。攻擊者利用Telegram精準投放廣告至官方的頻道，引誘用戶點擊。這類釣魚手法隱蔽性較高，由于這個廣告出現在官方頻道，用戶很容易下意識認為是官方發布的機器人，一旦警惕性不夠，點進了釣魚Bot，上傳私鑰進行綁定，便會被盜。
APP商城
應用商城（GooglePlay，ChromeStore，AppStore，APKCombo等）上的軟件并不都是正版，很多時候商城沒有辦法對軟件進行完全的審核。一些攻擊者通過購買關鍵詞排名引流等方式誘導用戶下載欺詐App，請廣大讀者注意甄別，在下載前，一定要先查看應用開發者信息，確保其與官方公布的開發者身份一致，還可以參考應用評分、下載量等信息。
利用瀏覽器特性
詳情見慢霧：揭露瀏覽器惡意書簽如何盜取你的DiscordToken。防御挑戰
防御策略
釣魚風險阻斷插件：如ScamSniffer可以多維度檢測風險，用戶在打開可疑的釣魚頁面時，工具會及時彈出風險提示。
交互安全性高的錢包：如Rabby的觀察錢包（無需私鑰）、釣魚網站識別、所見即所簽、高風險簽名識別、歷史記錄Scam識別等功能。
國際知名殺毒軟件：如AVG、Bitdefender、Kaspersky等。
硬件錢包：硬件錢包提供了一種離線存儲私鑰的方式，使用硬件錢包和DApp進行交互的時候，私鑰不會暴露在網上，有效降低資產被盜風險。
寫在最后
在Blockchain黑暗森林中，釣魚攻擊無處不在。修行就在起心動念處，需要看好自己的心念，避免于境“起心動念”而不自覺。行走于Blockchain黑暗森林，最根本的是要養成保持零信任和持續驗證的習慣，建議大家深度閱讀并逐步掌握《Blockchain黑暗森林自救手冊》：https://github.com/slowmist/Blockchain-dark-forest-selfguard-handbook/。