Web3 安全入門(mén)避坑指南（錢(qián)包被惡意多簽風(fēng)險(xiǎn)分析）
背景
在上一期 Web3 安全入門(mén)避坑指南中，我們主要講解下載/購(gòu)買(mǎi)錢(qián)包時(shí)的風(fēng)險(xiǎn)，找到真官網(wǎng)和驗(yàn)證錢(qián)包真?zhèn)蔚姆椒?，以及私鑰/助記詞的泄露風(fēng)險(xiǎn)。我們常說(shuō) “Not your keys, not your coins”，但也存在即使你有私鑰/助記詞，也無(wú)法控制自己資產(chǎn)的情況，即錢(qián)包被惡意多簽了。結(jié)合我們收集到的 MistTrack 被盜表單，一些用戶的錢(qián)包被惡意多簽后，不明白為什么自己錢(qián)包賬戶里還有余額，卻無(wú)法把資金轉(zhuǎn)出。因此，本期我們將以 TRON 錢(qián)包為例，講解多簽釣魚(yú)的相關(guān)知識(shí)，包括多簽機(jī)制、黑客的常規(guī)操作及如何避免錢(qián)包被惡意多簽等內(nèi)容。
多簽機(jī)制
我們先簡(jiǎn)單解釋下什么是多簽，多簽機(jī)制的本意是為了使得錢(qián)包更安全，允許多個(gè)用戶共同管理和控制同一個(gè)數(shù)字資產(chǎn)錢(qián)包的訪問(wèn)和使用權(quán)限。盡管部分管理者丟失或泄露了私鑰/助記詞，錢(qián)包里的資產(chǎn)也不一定會(huì)受損。
TRON 的多重簽名權(quán)限系統(tǒng)設(shè)計(jì)了三種不同的權(quán)限：Owner、Witness 和 Active，每種權(quán)限都有特定的功能和用途。
Owner 權(quán)限
- 擁有執(zhí)行所有合約和操作的最高權(quán)限；
- 只有擁有該權(quán)限才能修改其他權(quán)限，包括添加或移除其他簽名者；
- 創(chuàng)建新賬戶后，默認(rèn)為賬戶本體擁有該權(quán)限。
Witness 權(quán)限
這個(gè)權(quán)限主要與超級(jí)代表(Super Representatives) 相關(guān)，擁有該權(quán)限的賬戶能夠參與超級(jí)代表的選舉和投票，管理與超級(jí)代表相關(guān)的操作。
Active 權(quán)限
用于日常操作，例如轉(zhuǎn)賬和調(diào)用智能合約。這個(gè)權(quán)限可以由 Owner 權(quán)限設(shè)定和修改，常用于分配給需要執(zhí)行特定任務(wù)的賬戶，它是若干授權(quán)操作（比如 TRX 轉(zhuǎn)賬、質(zhì)押資產(chǎn)）的一個(gè)集合。
上文中提到，新建賬戶時(shí)，該賬戶的地址會(huì)默認(rèn)擁有 Owner 權(quán)限（最高權(quán)限），可以調(diào)整賬戶的權(quán)限結(jié)構(gòu)，選擇將該賬戶的權(quán)限授權(quán)給哪些地址，規(guī)定這些地址所占權(quán)重的大小，以及設(shè)置閾值。閾值是指需要簽名方權(quán)重到達(dá)多少才能執(zhí)行特定操作。在下圖中，閾值設(shè)置為 2，3 個(gè)被授權(quán)地址的權(quán)重都為 1，那么在執(zhí)行特定操作時(shí)，只要有 2 個(gè)簽名方的確認(rèn)，這個(gè)操作就可以生效。
(https://support.tronscan.org/hc/article_attachments/29939335264665)
惡意多簽的過(guò)程
黑客獲取用戶私鑰/助記詞后，如果用戶沒(méi)有使用多簽機(jī)制（即該錢(qián)包賬戶僅由用戶一人控制），黑客便可以將 Owner/Active 權(quán)限也授權(quán)給自己的地址或者將用戶的 Owner/Active 權(quán)限轉(zhuǎn)移給自己，黑客的這兩種操作通常都被大家稱(chēng)為惡意多簽，但其實(shí)這是一個(gè)廣義的說(shuō)法，實(shí)際上，可以根據(jù)用戶是否還擁有 Owner/Active 權(quán)限來(lái)區(qū)分：
利用多簽機(jī)制
下圖中，用戶的 Owner/Active 權(quán)限未被移除，黑客給自己的地址授權(quán)了 Owner/Active 權(quán)限，此時(shí)賬戶由用戶和黑客共同控制（閾值為 2），用戶地址和黑客地址的權(quán)重都為 1。用戶雖然持有私鑰/助記詞，也有 Owner/Active 權(quán)限，但無(wú)法轉(zhuǎn)移自己的資產(chǎn)，因?yàn)橛脩舭l(fā)起轉(zhuǎn)出資產(chǎn)請(qǐng)求時(shí)，需要用戶和黑客的地址都簽名，這個(gè)操作才能正常執(zhí)行。
雖然被多簽的賬戶執(zhí)行轉(zhuǎn)出資產(chǎn)的操作需要多方簽名的確認(rèn)才可以實(shí)現(xiàn)，但是向錢(qián)包賬戶入賬是不需要多方簽名的。如果用戶沒(méi)有定期檢查賬戶權(quán)限情況的習(xí)慣或者近期沒(méi)有轉(zhuǎn)出操作的話，一般不會(huì)發(fā)現(xiàn)自己錢(qián)包賬戶的授權(quán)被更改，那么便持續(xù)受損。如果錢(qián)包內(nèi)的資產(chǎn)不多，黑客可能會(huì)放長(zhǎng)線釣大魚(yú)，等待該賬戶積累了一定數(shù)字資產(chǎn)后，再一次性盜取所有數(shù)字資產(chǎn)。
利用TRON的權(quán)限管理設(shè)計(jì)機(jī)制
還有一種情況是黑客利用 TRON 的權(quán)限管理設(shè)計(jì)機(jī)制，直接將用戶的 Owner/Active 權(quán)限轉(zhuǎn)移給黑客地址（閾值仍為 1），使得用戶失去 Owner/Active 權(quán)限，連“投票權(quán)”都沒(méi)有了。需注意，此處黑客并不是利用多簽機(jī)制使得用戶無(wú)法轉(zhuǎn)移資產(chǎn)，但大家習(xí)慣上稱(chēng)這種情況也為錢(qián)包被惡意多簽。
以上兩種情況造成的結(jié)果是一樣的，無(wú)論用戶是否還擁有 Owner/Active 權(quán)限，都失去了對(duì)該賬戶的實(shí)際控制權(quán)，黑客地址獲得了賬戶的最高權(quán)限，可實(shí)現(xiàn)更改賬戶權(quán)限、轉(zhuǎn)移資產(chǎn)等操作。
惡意多簽的途徑
結(jié)合 MistTrack 收集到的被盜表單，我們總結(jié)出了幾種錢(qián)包被惡意多簽的常見(jiàn)原因，希望用戶遇到以下幾種情況時(shí)，提高警惕：
1. 在下載錢(qián)包時(shí)，未能找到正確的途徑，點(diǎn)擊了電報(bào)、推特、網(wǎng)友發(fā)送的假官網(wǎng)鏈接，下載到假錢(qián)包，結(jié)果私鑰/助記詞泄露，錢(qián)包被惡意多簽。
2. 用戶在一些出售加油卡、禮品卡、VPN 服務(wù)的釣魚(yú)充值網(wǎng)站輸入了私鑰/助記詞，結(jié)果失去自己錢(qián)包賬戶的控制權(quán)。
3. OTC 交易時(shí)，被有心之人拍到私鑰/助記詞或以某手段獲取賬戶的授權(quán)，隨后錢(qián)包被惡意多簽，資產(chǎn)受損。
4. 一些騙子把私鑰/助記詞提供給你，稱(chēng)他無(wú)法提取錢(qián)包賬戶里的資產(chǎn)，如果你能幫忙的話可以給你酬勞。雖然這個(gè)私鑰/助記詞對(duì)應(yīng)的錢(qián)包地址確實(shí)存在資金，但無(wú)論你給多少手續(xù)費(fèi)、手速多快都提不走，因?yàn)樘釒艡?quán)限被騙子配置給了另一個(gè)地址。
5. 還有一種較為少見(jiàn)的情況是用戶在 TRON 上點(diǎn)擊了釣魚(yú)鏈接，簽名了惡意的數(shù)據(jù)，隨后錢(qián)包被惡意多簽。
總結(jié)
在本期指南中，我們主要以 TRON 錢(qián)包為例，講解了多簽機(jī)制、黑客實(shí)施惡意多簽的過(guò)程和套路，希望幫助大家加深對(duì)多簽機(jī)制的理解和提高防范錢(qián)包被惡意多簽的能力。當(dāng)然，除了被惡意多簽的情形之外，還存在一些比較特別的案例，有的新手用戶可能因操作不慎或缺乏了解，誤將錢(qián)包設(shè)置成了多簽，導(dǎo)致需要多個(gè)簽名才能進(jìn)行轉(zhuǎn)賬。此時(shí)，用戶僅需滿足多簽要求或在權(quán)限管理處將 Owner/Active 權(quán)限只授權(quán)給一個(gè)地址，恢復(fù)單簽即可。
最后，慢霧安全團(tuán)隊(duì)建議廣大用戶定期檢查賬戶權(quán)限，查看是否有異常；從官方途徑下載錢(qián)包，我們?cè)赪eb3 安全入門(mén)避坑指南｜假錢(qián)包與私鑰助記詞泄露風(fēng)險(xiǎn)里講過(guò)如何找到正確的官網(wǎng)和驗(yàn)證錢(qián)包的真?zhèn)?；不點(diǎn)擊不明鏈接，更不輕易輸入私鑰/助記詞；安裝殺毒軟件（如卡巴斯基、AVG 等）和釣魚(yú)風(fēng)險(xiǎn)阻斷插件（如 Scam Sniffer），提高設(shè)備安全性。
你可能感興趣的文章
-
Trust Wallet 是什么？核心功能、代幣經(jīng)濟(jì)及未來(lái)發(fā)展介紹
Trust Wallet由Viktor Radchenko于2017年11月推出，是一款去中心化的加密貨幣錢(qián)包，支持70多個(gè)區(qū)塊鏈，包括比特幣、以太坊、BNB智能鏈和Solana等,除了購(gòu)買(mǎi)、持有和轉(zhuǎn)移加密…
2025-09-23 -
如何通過(guò)OKX Web3錢(qián)包進(jìn)行跨鏈兌換？歐易Web3錢(qián)包PandaBridge跨鏈教程
歐易Web3錢(qián)包是一款非托管、去中心化的多鏈數(shù)字資產(chǎn)錢(qián)包，它讓用戶能夠安全地掌握自己的私鑰和資產(chǎn)，并作為進(jìn)入Web3世界的一站式入口，集成了多鏈資產(chǎn)管理、DEX交易聚合、D…
2025-09-22 -
如何創(chuàng)建鏈上錢(qián)包、提幣及買(mǎi)幣？Phantom和OKXWeb3錢(qián)包創(chuàng)建教程
目前，Phantom 錢(qián)包和 OKX Web3 錢(qián)包是最常見(jiàn)的兩款鏈上錢(qián)包，尤其是 Phantom，其在美國(guó) iOS 應(yīng)用商店的排名超過(guò)了 Coinbase，顯示了其廣泛的受歡迎程度,鑒于大多數(shù)新手用…
2025-09-22 -
如何使用OKX Web3錢(qián)包發(fā)行代幣？歐易OKX Web3錢(qián)包發(fā)幣教程
在OKX Web3錢(qián)包存儲(chǔ)任意數(shù)字資產(chǎn)，涵蓋BTC、ETH、USDT 及熱門(mén)Meme幣與NFT,支持一次性創(chuàng)建最多1000個(gè)子錢(qián)包地址，全權(quán)掌控私鑰管理,那么，如何使用OKX Web3錢(qián)包發(fā)行代幣？下…
2025-09-22 -
什么是EVM錢(qián)包地址？如何查找您的錢(qián)包地址？常見(jiàn)錯(cuò)誤介紹
您是否曾嘗試發(fā)送或接收加密貨幣，卻突然發(fā)現(xiàn)自己不知道在哪里可以找到錢(qián)包地址？那串以 0x 開(kāi)頭的字符就是您的 EVM（以太坊虛擬機(jī)）錢(qián)包地址，它幾乎是您所有鏈上操作的關(guān)…
2025-09-22 -
熱錢(qián)包與冷錢(qián)包：您應(yīng)該使用哪種加密錢(qián)包？
每個(gè)加密貨幣的所有者都需要一個(gè)錢(qián)包，選擇一個(gè)合適的錢(qián)包也是非常重要的，目前加密錢(qián)包種類(lèi)繁多，就像今天為大家介紹的冷錢(qián)包和熱錢(qián)包，很多投資者都想要詳細(xì)的了解應(yīng)該使…
2025-09-19 -
熱錢(qián)包推薦排名：新人入門(mén)web3錢(qián)包就靠這7款交易所錢(qián)包
熱錢(qián)包是透過(guò)網(wǎng)絡(luò)鏈接加密貨幣資產(chǎn)的工具，可用于自主存放、接收、發(fā)送加密貨幣并與DApp 互動(dòng)，熱錢(qián)包平臺(tái)無(wú)法擅自挪動(dòng)里面的資產(chǎn),本文將為大家推薦7款交易所web3錢(qián)包，并…
2025-09-19 -
硬件錢(qián)包是什么?如何運(yùn)作?優(yōu)化資產(chǎn)保護(hù)的10個(gè)安全提示詳解
硬件錢(qián)包是存儲(chǔ)加密貨幣的領(lǐng)先安全解決方案，但只有采取正確的安全措施才能達(dá)到最佳效果，本文為大家整理了10個(gè)保護(hù)數(shù)字資產(chǎn)的重要提示，感興趣的小伙伴可以了解下…
2025-09-19 -
OKX錢(qián)包內(nèi)的Boost是什么？如何參與X Launch并省20%手續(xù)費(fèi)？
OKX Boost是OKX錢(qián)包推出的全新功能，其中的X Launch 首發(fā)活動(dòng)獎(jiǎng)勵(lì)更是引人注目，因?yàn)橹灰?jiǎn)單交易，就賺取了幾百美金，下文將為大家詳細(xì)介紹OKX錢(qián)包內(nèi)的Boost是什么，帶你…
2025-09-19 -
比特幣錢(qián)包是什么？怎么用比特幣錢(qián)包？比特幣錢(qián)包推薦與使用教程
比特幣錢(qián)包是存放、接收及發(fā)送比特幣的工具，更準(zhǔn)確來(lái)說(shuō)，是紀(jì)錄比特幣擁有權(quán)的平臺(tái)或?qū)嶓w對(duì)象,那么，比特幣錢(qián)包是什么？怎么用比特幣錢(qián)包？比特幣錢(qián)包地址如何查詢(xún)？下文…
2025-09-18
