新手Web3安全指南：如何避免空投騙 局
背景
在我們之前的Web3安全指南中，討論了多簽釣魚攻擊，介紹了多簽錢包的工作原理、攻擊者如何利用它們以及如何保護您的錢包免受惡意簽名的侵害。在本期指南中，我們將探討一個在傳統(tǒng)行業(yè)和加密行業(yè)中廣泛使用的營銷策略——空投。
空投可以迅速將一個不知名的項目變成眾人關注的項目，幫助其快速建立用戶基礎并提升市場知名度。通常，用戶要訪問鏈接并與項目互動才能領取空投的代幣。然而，從偽造網(wǎng)站到隱藏后門的工具，黑客在空投過程中設下了各種陷阱。本指南將分析常見的空投騙 局，幫助您避開這些陷阱。
什么是空投？
空投是指Web3項目向特定錢包地址分發(fā)免費代幣，以提高項目的知名度并吸引早期用戶。這是項目獲取用戶基礎的最直接方法之一。根據(jù)領取方式，空投通常分為以下幾類：
- 任務型：完成項目指定的任務，如分享內容或點贊帖子。
- 交互型：進行代幣交換、發(fā)送/接收代幣或跨鏈操作等。
- 持有型：持有項目指定的代幣，符合空投資格。
- 質押型：通過單資產或雙資產質押、提供流動性或長期鎖倉賺取空投代幣。
領取空投的風險
虛假空投騙 局
這些騙 局可以分為幾類：
1.官方賬戶被劫持：
黑客可能會控制項目的官方賬戶并發(fā)布虛假空投 公告。例如，常見的情況是新聞平臺上出現(xiàn)“項目X的Twitter或Discord賬號被黑，不要點擊黑客分享的釣魚鏈接”的警告。我們的2024年上半年區(qū)塊鏈安全與反洗錢報告顯示，2024年上半年就發(fā)生了27起此類事件。用戶出于對官方賬戶的信任，可能會點擊這些鏈接，進而被重定向到偽裝成空投頁面的釣魚網(wǎng)站。如果他們輸入了私鑰、助記詞或授予了權限，黑客便能竊取其資產。
2.評論區(qū)的假冒行為：
黑客經常創(chuàng)建假的項目賬號，在真實項目的社交媒體渠道的評論區(qū)發(fā)布假冒空投的消息。放松警惕的用戶可能會訪問這些鏈接，進入釣魚網(wǎng)站。例如，慢霧（SlowMist）安全團隊曾分析過這種手法，并在一篇名為《警惕評論區(qū)假冒行為》的文章中提供了建議。此外，在合法空投宣布后，黑客會迅速使用與官方賬號相似的假賬號發(fā)布釣魚鏈接，許多用戶因此被騙，安裝了惡意應用或在釣魚網(wǎng)站上簽署了交易。
3.社會工程攻擊：
在某些情況下，騙子會滲透進Web3項目群，針對特定用戶，使用社會工程技術欺騙他們。他們可能假扮成支持人員或熱心的社區(qū)成員，聲稱可以引導用戶領取空投，但實際目的是竊取他們的資產。用戶應保持警惕，不要輕信任何自稱為官方代表的陌生人提供的幫助。
4.“免費”空投代幣
雖然大多數(shù)空投要求用戶完成任務，但也有一些情況是代幣會在用戶未采取任何行動的情況下出現(xiàn)在錢包中。黑客經常向用戶錢包空投毫無價值的代幣，誘使用戶與這些代幣交互，比如轉移、查看或嘗試在去中心化交易所交易這些代幣。然而，當你試圖與這些騙 局NFT交互時，就可能會遇到錯誤信息，提示你訪問某個網(wǎng)站才能“解鎖你的物品”。這其實是通往釣魚網(wǎng)站的陷阱。
如果用戶訪問詐 騙 NFT 鏈接的釣魚網(wǎng)站，黑客可能會執(zhí)行以下操作：
“零成本購買”有價值的 NFT（參考“零成本購買”NFT 釣魚分析）。
通過批準（Approve）授權或許可（Permit）簽名竊取高價值代幣。
拿走原生資產。
接下來我們來看看黑客是如何精心謀劃惡意合約用于竊取用戶的gas費的。
首先，黑客在幣安智能鏈（BSC）（0x513C285CD76884acC377a63DC63A4e83D7D21fb5）上創(chuàng)建了名為GPT的惡意合約，并通過空投代幣引誘用戶與之交互。
當用戶與此惡意合約交互時，系統(tǒng)會提示他們批準該合約在其錢包中使用代幣。如果用戶批準此請求，惡意合約會根據(jù)用戶的錢包余額自動增加gas限額，導致后續(xù)交易中的gas消耗更高。
通過利用用戶提供的高gas限額，惡意合約使用多余的gas來鑄造CHI代幣（CHI代幣可用于gas補償）。積累大量CHI代幣后，黑客可以在合約被銷毀時銷毀這些代幣以獲得Gas退款。
https://x.com/SlowMist_Team/status/1640614440294035456
通過這種方式，黑客巧妙地從用戶的gas費中獲利，而用戶可能不知道自己已經支付了額外的gas費。用戶最初希望通過出售空投的代幣來獲利，但最終卻失去了自己的原生資產。
后門工具
https://x.com/evilcos/status/1593525621992599552
在領取空投的過程中，部分用戶需要下載插件來完成轉化、查看代幣稀有度等任務。但這些插件的安全性值得懷疑，部分用戶并不從官方渠道下載，大大增加了下載帶有后門插件的風險。
此外，我們注意到在線服務出售用于領取空投的腳本，聲稱可以有效地自動化批量交互。但是，請注意，下載和運行未經驗證和未經審查的腳本是非常危險的，因為您無法確定腳本的來源或其實際功能。這些腳本可能包含惡意代碼，構成潛在威脅，例如竊取私鑰或助記詞，或執(zhí)行其他未經授權的操作。此外，一些用戶在進行此類危險操作時，要么沒有安裝防病毒軟件，要么已禁用防病毒軟件，這可能會阻止這些軟件檢測自己的設備是否已被惡意軟件破壞，從而導致進一步的損害。
結語
在本指南中，我們通過分析常見的詐 騙策略，強調了與領取空投相關的各種風險?？胀妒且环N流行的營銷策略，但用戶可以通過采取以下預防措施來降低在此過程中資產損失的風險：
全面驗證：訪問空投網(wǎng)站時務必仔細檢查 URL。通過官方賬號或公告確認，并考慮安裝Scam Sniffer等釣魚風險檢測插件。
使用隔離錢包：僅將少量資金存放在用于空投的錢包中，同時將大量資金存放在冷錢包中。
謹慎對待未知空投：不要參與或批準涉及來源不明的空投代幣的交易。
檢查 Gas 限制：在確認交易之前，請務必檢查 Gas 限制，尤其是當它看起來異常高時。
使用信譽良好的防病毒軟件：啟用實時保護并定期更新防病毒軟件，以確保阻止最新威脅。
你可能感興趣的文章
-
幣圈新手如何避免詐 騙？八種最常見的虛擬貨幣詐 騙手法
隨著加密貨幣興起，許多詐騙集團開始把目標轉向幣圈，相信你也時常在新聞上看見相關詐 騙案件發(fā)生,那么，如何預防加密貨幣詐 騙？本文將為大家匯總八種最常見的虛擬貨幣詐 …
2024-09-13 -
一個老站長推薦的寶典：新手初入加密世界之投資指南
很多新手剛進入幣圈，都不知道如何投資，本文為大家分享一位老站長的加密貨幣投資寶典，通過下文讓初入加密世界的你，都能搞懂如何投資加密貨幣，并附上加密貨幣注冊，賣幣…
2024-09-13 -
新手指南：ICO是什么？新手如何判斷ICO項目？
ICO是一種募資的手段，可以是眾籌或是私人的形式,ICO中，企業(yè)或個人可以發(fā)行加密貨幣，以代幣的形式向大眾換取換取法定貨幣或其他大型穩(wěn)健的加密貨幣，那么究竟ICO是什么？…
2024-07-12 -
Web3新手必備：我的比特幣為什么有多種地址？
Bitcoin社區(qū)是一個技術不斷發(fā)展的社區(qū)，技術的發(fā)展產生新的內容,不同的地址格式可以認為是新技術應用的結果,接下來探索一下不同地址格式的區(qū)別是什么…
2024-05-24 -
進入幣圈需要了解什么？進入幣圈要哪些技能？
隨著加密貨幣和區(qū)塊鏈技術的不斷發(fā)展，幣圈已經成為一個備受關注的領域,但是對于新手來說，幣圈的世界可能有些神秘和復雜,那么，進入幣圈需要了解什么？進入幣圈要哪些技能…
2024-02-05 -
Web3新人必讀指南:零基礎如何入門Web3.0
Web3作為一種新興技術，涉及到加密貨幣、智能合約、去中心化應用（DApps）等多個領域,在這份必讀指南中，我們篩選出了Web3重點領域的必讀內容，幫助零基礎新人快速入門…
2024-01-10 -
新手剛入幣圈如何避坑？給幣圈新人炒幣的幾點建議
新手剛入幣圈如何避坑？本文將為你提供一個幣圈新人避坑指南，給幣圈新人炒幣的幾點建議，如果你是新手，不妨參考一下…
2024-09-09 -
新手指南：在加密市場從零賺取第一桶金的8個方法
在一般人的認知中，加密貨幣投資需要數(shù)千美元的啟動資金,其實不一定，甚至有可能從0 美元開始賺錢,本文將展示8 種從0 開始的方法…
2024-08-22 -
新手指南：加密貨幣交易的10個最佳技術指標
在2024年加密貨幣交易的動態(tài)領域中，利用精確而強大的分析工具對于駕馭市場波動和預測價格趨勢至關重要,技術指標通過分析過去的市場數(shù)據(jù)在預測未來價格走勢方面發(fā)揮著至關…
2024-07-24 -
新手指南：2024年最值得投資的頂級加密貨幣推薦
對于新手來說，進入幣圈最大的疑問，便是投資哪個加密貨幣的問題，加密市場的幣種千千萬，該如何選擇，確實讓人頭痛，下文將為新手投資者推薦2024年最值得投資的頂級加密貨…
2024-07-24
