揭露假安全專家的行騙過程
作者：Liz&Reborn背景
昨天，一位用戶聯系到慢霧安全團隊，詢問如何取消簽名，并附帶了一張截圖，顯示其錢包地址存在風險授權。
該用戶表示，自己錢包中有一項授權始終無法撤銷，點擊多次均無反應，錢包界面也顯示了風險提示。他又回憶起多年前曾為某Tokens的Swap操作授權過一次，因此感覺此次風險提示并非空穴來風。披著安全外衣的*騙*局
慢霧安全團隊使用區塊瀏覽器及 Revoke進行排查，卻并未發現截圖中地址的風險授權記錄。不久后，用戶又發來另一張截圖，顯示其在某工具中查詢出的結果。經對比，兩張截圖中的地址并不一致。我們隨即建議用戶將該工具的鏈接與相關地址一并提供。此時，用戶也開始疑惑：難道自己兩個地址都有風險授權？
我們隨即對該工具 SignatureChecker(http://signature[.]land)進行分析，一打開便看到，該工具竟然支持用戶輸入私鑰來查詢。本來沒有風險的地址，在這個網頁輸入了私鑰，也得有風險了。
值得注意的是，這個釣魚網站的頁面設計和 Revoke的界面風格、Logo極為相似，容易讓用戶誤以為是正規授權撤銷平臺，從而降低警惕，增加上當受騙的風險。下圖為Revoke的官網界面：
我們用騙子提供的工具查詢用戶的兩個地址，發現確實有風險授權的記錄。不過，黑暗森林里的準則之一是保持懷疑，持續驗證。我們接著測試，發現隨機貼入地址，該工具都會顯示地址有風險授權，而且授權時間與查詢時間非常臨近，這種設計既給了用戶希望，還營造了緊迫感：現在趕緊取消應該沒事。
我們隨后輸入測試用的私鑰進行查詢，發現頁面彈出“格式錯誤”的提示，但是仍然會傳輸我們輸入的信息。
這是發送到 EmailJSAPI的請求接口，可以發現用戶輸入的地址或者私鑰信息會通過該接口發送到騙子的郵箱(abpulimali@gmail[.]com)。
騙子還提供了所謂的“操作教程”，引導用戶將私鑰粘貼進釣魚網站的輸入框，以“取消與惡意合約的交互”為由行騙，甚至還提供了語音指導服務，全方位催促用戶上鉤。
用戶在察覺異樣后并未配合，不過騙子沒有放棄，為了進一步施壓并取信于人，騙子建議用戶去咨詢慢霧安全團隊。一些警惕性不高的用戶，聽到對方愿意請安全公司驗證，可能會因此放松警惕，誤以為對方不是騙子。而騙子則往往賭定用戶不會真的去核實，甚至在行騙過程中直接 @SlowMist_Team，試圖利用安全公司為自己背書。
幸運的是，這位用戶足夠警惕，并未按對方引導輸入私鑰，而是主動聯系了慢霧安全團隊核實情況，最終確認這是一場*騙*局，成功避免了資產損失。
我們進一步調查發現，騙子在 Telegram上盜用了知名鏈上偵探ZachXBT的頭像。
由于用戶沒有繼續配合，騙子隨后又冒充慢霧員工，繼續嘗試聯系和行騙。
查看騙子的 X賬號(@Titanspace3)，該賬號擁有7.4萬粉絲，注冊于2021年，但直到2024年才開始活躍。賬號內容以轉發安全研究員、安全公司和媒體動態為主，自稱專注Blockchain安全領域，明顯是買來的賬號。這類賬號買賣在灰產中很常見，相關內容我們此前已有分析，見真假項目方|警惕評論區高仿號釣魚。
結合其早期推文語言風格與用戶提供的線索，推測該騙子可能來自印尼。
目前，該賬號仍活躍在 X平臺，不斷以“善意提醒”的名義留言，引導Web3用戶點擊釣魚鏈接，并誘導他們泄露私鑰。Web3反詐騙平臺ScamSniffer已經將該網站標記為惡意。
寫在最后
從偽造“授權風險”頁面，到冒充安全公司員工，一步步引導用戶泄露私鑰，這類*騙*局的手法正變得愈發精細。騙子認為只要自己包裝得夠專業，大多數人就不會去深究驗證，反而會被他們制造的“緊迫感”牽著走。
對此，我們特別提醒廣大用戶，務必警惕打著安全旗號行不軌之事的人。在Blockchain這片黑暗森林中，唯有保持零信任態度與持續驗證意識，才能守住資產安全的最后一道防線。無論對方自稱是誰，無論對方聲稱情況多緊急，請務必保持冷靜，通過官方渠道進行驗證，切勿因一時慌亂而交出私鑰或助記詞。慢霧安全團隊也將持續披露此類案例，幫助用戶識別風險、提高警惕，共同守護Web3世界的安全底線。