別讓駭客有機可乘！幣圈黑暗森林「自救指南」

最近 TP 錢包上面 transit 閃兌服務鬧得沸沸揚揚，駭客盜走上億資金，我們在 web3 傲遊的同時，該如何保障資金和隱私安全？看完本篇你應該不會再被盜了吧！

一、你所有的操作都有洩露隱私的風險

網絡世界的安全問題實際上一直縈繞從所有人的頭上。

關於安全的知識龐雜而又繁瑣，我們首先要掌握一個原則，網路世界裡，幾乎沒有安全的地方，甚至你的每一步操作都有洩露隱私的風險。

之前也有很多人做過這方面的科普，但要麼過於簡單、要麼過於復雜。這篇文章裡，我準備用最簡單、易懂的語言，讓盡可能多的人讀懂。

具體來說，我們需要關注的安全問題應該包括一下幾個方面：情緒控制、web3 錢包的使用、設備的使用、個人隱私保護。

二、情緒是你最大的敵人

這裡我繼續說一下自己 stepn 鞋子差點被盜的經歷，希望對大家會有一些警示作用。

前不久我弄了一雙 stepn 鞋子想給家人使用，由於鞋子始終不能正常運行，無法獲得 GST。我每天通過郵件、Discord 與官方客服交流，但始終沒解決問題。這時，我因為一直無法賺到 GST 變得有些焦慮，在無意中發現有 Stepn 的「客服」通過私訊與我交流。客服表示，這個問題是由於伺服器維護導致的（剛好那段時間確實不穩定），只要提供帳號電郵信箱和驗證碼確認身份就能解決問題。 

重點來了，由於中國很多服務都是需要提供驗證碼以驗證本人身份，加上郵件上只寫了「Complete Verification」而沒有提示驗證碼具體的作用，特別是自己也已經很焦慮。收到驗證碼後，我沒想太多複制了驗證碼。所幸在我按下「確認鍵」的那一刻突然清醒過來，「 We will never DM you」這句 discord 名言突然在腦中迴響，我立即停止了所有的操作。然後來到 stepn 的伺服器驗證，發現所謂的「客服」果然是騙子。

回過神來，才發現一雙價值幾千刀的鞋子就這麼差點被「客服」騙走，真是凶險萬分。後來，我看了許多資安方面的資料。發現焦慮和傲慢這兩種情緒是我們在區塊鏈世界最大的敵人。

1、焦慮

大部分人都像我一樣，來到區塊鏈世界是為了賺錢的。但只要涉及到金錢，難免會產生 FOMO、焦慮的情緒，例如前幾天 GAL 首發的時候有人以 200 刀的價格入場，又如有的 NFT 玩家在開盤前被「誘拐」到假的網站 mint…….

總之，焦慮是所有投資人的大忌，一旦與錢打交道的時候，一定要想辦法保持冷靜。

2、傲慢

與焦慮相反的一面是傲慢。許多人都認為，自己是產業大佬，上知區塊鏈技術下知彙編語言，熟知各類騙術，怎麼可能會被騙？但恰恰是這樣的傲慢，才會疏於防範，前不久就發生過 Defiance Capital 創始人 Arthur Cheong 錢包被盜的事件。據報導，Arthur Cheong 只是中了一個最常見的攻擊方式：打開了郵件裡帶有病毒的文件。

所謂「驕兵必敗」，不少人的事業在處於上升階段的時候，會以為自己總是對的，忽略了很多其他方面的問題，等到災難降臨的時候已經一切歸零。

三、如何安全使用 web3 錢包

以上是從人性的角度講述可能的攻擊手段，現在我們從大家最關心的錢包安全開始，說一些大家最關心的問題。

1、冷錢包、熱錢包、交易所

我們的代幣有三個地方可以存放。其中以冷錢包最為安全，如 Ledger。對於大多數人來說，只要做好密碼保護和雙重驗證，交易所實際上會比熱錢包更安全；我們的熱錢包因為時刻在鏈上，一旦發生錯誤的授權，資產就很容易被轉移。

2、USDT 的潛在風險

很多人以為 USDT 很安全，其實 USDT 是由 Tether 公司管理的，一旦被認為是黑錢，Tether 可以輕鬆凍結這筆資金。所以，遇到來歷不明的 USDT 最好還是小心點。同理，需要注意的是 USDC，也是會被凍結的。

3、錢包的各類交互操作

先說一個大家最容易犯錯的地方，就是簽名（Sign）。一般認為，簽名不涉及授權，不會有操作風險，但是遇到非明文寫下的簽名，還是有安全隱患的，所幸現在 metamask 都會用紅字提示。

除簽名外，最常用的一個功能是授權（approve）。這決定了你授權了對方某個幣種可以自由使用的額度，一般來說像常用的 Uniswap 這類 DEX 比較安全，但是一旦遇到新的項目要求你無限轉帳額度的授權，就一定要小心了。駭客們最喜歡用的一招就是讓你在焦慮（新項目 mint 時）、興奮（突然收到貌似大額的空投）、沮喪（反覆被騙）等情緒下，將你騙到一個假冒網站，讓你無意中授權給他。

這裡提供一些查詢和授權的網站，仔細檢查一些是否有不明來源的授權，這對你很重要：

• bscscan.com/tokenapprovalchecker
• snowtrace.io/tokenapprovalchecker
• cronoscan.com/tokenapprovalchecker

近期還有一種偽裝成 NFT 的 ERC1155 協議。駭客會將做一個與你錢包裡同名的 NFT，然後空投給你，一旦你在指定的網站上授權掛單，駭客就可以轉移對應的 NFT，十分危險。所以不要隨便使用不明來源的空投。

Mint 主要用於鑄造 NFT，一般來說不會有什麼風險。不過，要確定自己 Mint 的網站不是駭客偽造的，這類事件時有發生。假冒的網站經常會把 Mint 改為一個授權協議，如果在 FOMO 當下進行鑄造，很有可能會因為沒注意協議導致誤授權。有的騙子很直白，會直接要求你 send eth 給他……

4、其他錢包

很多人對 ETH 錢包的相關操作瞭如指掌，以為可以輕鬆駕馭其他的錢包（犯了前文提到的自傲的錯）。實際上，其他鏈的錢包更不安全。因為你對新的公鏈肯定不如對 ETH 了解那麼深，公鏈和錢包在設計邏輯上也會存在 bug，所以交互的時候應該更加小心，不要隨意使用陌生的網站進行陌生的交互。

慢霧創始人餘弦就提到過一個 SOL 案例。攻擊者批量給用戶空投 NFT（上圖 1），用戶通過空投 NFT 描述內容裡的連結進入目標網站，連接錢包 (上圖 2)，點擊頁面上的「Mint」，出現批准提示框 (上圖 3)。注意，此時的批准提示框並沒有什麼特別提示，當批准後，該錢包裡的所有 SOL 都會被轉走。這裡面有兩個坑需要注意：

• 惡意合約在用戶批准 (Approve) 後，可以轉走用戶的原生資產 ( SOL)，這點在以太坊上是不可能的。以太坊的授權釣魚釣不走以太坊的原生資產 (ETH)，但可以釣走其他代幣。於是，這裡就存在「常識違背」現象，導致用戶容易掉以輕心；
• Solana 最知名的錢包 Phantom 在「所見即所簽」 安全機制上存在缺陷 (其他錢包沒測試)，沒有給用戶完備的風險提醒。這非常容易造成安全盲區，導致用戶丟幣。

5、NFT

NFT 很熱，相關的騙局也很多，比如：

• 從傳統 app 彈出通知將你引誘到某 NFT 項目——好項目是不需要通過 web2 的方式來引流的；
• 社群不斷討論如何維護地板價——崩盤前奏；
• Discord 上頻繁踢人、禁言——這是項目方沒有自信的表現；
• 沒有審計（這一點其他非 NFT 項目也是一樣的）—— 雖然審計了也不一定安全，例如說被 CertiK 審計但卻登上 REKT list 的那些項目；但不審計肯定危險，尤其是加 disclaimer 的那種，例如 SpaceLoot。

• 頻繁出現漏洞——比如 gas 過高，mint 方式不合理；
• 假冒 NFT——許多新手會被誘騙買到假冒的 NFT，所謂的假冒可能是仿冒了某個已經存在的 NFT 產品，也可能是謊稱由某知名藝術家製作，或者謊稱擁有某知名藝術家的授權發布的產品，因此購買 NFT 前最好多來源確認產品的合規性。

6、網站前端安全

網站不安全，一般是發生在以下幾種情況中：

• HTTP 肯定是不安全的——必須確保你使用的網站帶有 HTTPS，HTTP 網站的傳輸是未加密的，你的所有資訊都有可能被駭客看到。
• 被他人或第三方的資訊帶入釣魚網站——不僅要警惕陌生人，有時候熟人也有可能由於早就被誤導，導致發送錯誤的連結給你，還有的時候是群聊中的朋友，一時輕信了某些消息，無意中傳播了釣魚網站。
• 官方網站被駭——這比較難防範，你能做的只有一直保持警覺，留意公告再三確認自己進入的網站是否安全。

7、剪貼簿安全

剪貼簿的風險主要在於被其他應用讀取你的個人資訊，然後組成一套完整的個人檔案，獲得密碼或者錢包密鑰/助記詞。我對剪貼簿做了一些查證，獲取了以下資訊：

• 幾乎所有的手機 app（包括蘋果）都會讀取你的剪貼簿，所以真的不能在手機上複製密鑰；
• Google 近年來對 Chrome 的插件做了很多限制，除非被破解或者用戶主動安裝來源不明的插件，否則插件是無法讀取剪貼簿的，這個基本可以放心；
• 電腦上的各種軟體也有讀取剪貼簿的可能，所以復制資料的時候要小心。

8、關於使用錢包的一些安全建議

• 不要複製，也不要使用網路傳輸私鑰、助記詞。萬不得已時，蘋果用戶可使用隔空投送，其他用戶可使用 telegram（相對安全）；
• 大額資產使用獨立的錢包；
• 新項目開始前，如果感到危險，可新建立一個錢包去參與；
• 對不明來源的空投保持警惕，騙子常常會在 NFT 上刻下釣魚網站的網址，將你誘騙到危險的地方；
• 對每一次錢包的操作都保持警惕。

四、設備安全

行走 web3.0，保持設備與保證錢包安全同樣重要：

• 手機和電腦的操作系統應該保持更新並開啟自動更新，特別是不要使用停止維護的系統，比如 win 7。

• 善用 windows 安全中心可以保持良好的使用習慣；
• 不要使用 root 過的安卓手機，小品牌的安卓手機風險也很高，必須使用官方市場的 app，最好是用 google play，蘋果手機（非越獄）相對來說更安全；
• 電腦上不要安裝不明來源的軟體，特別是中國軟體，幾乎沒有下限；
• 虛擬機是個好東西，對於不明來源的文件可以嘗試使用虛擬機打開。現在 win10 就自帶虛擬機，具體使用可參照微軟官方文檔但一定要注意，有的駭客（或木馬）很厲害，能夠意識到自己正在「matrix」當中，會主動尋求跳出虛擬機的方法；
• 瀏覽器和錢包必須保持更新；
• Wifi 是最容易被監聽的渠道。永遠不要使用外面的 wifi，自己家的路由器也要經常檢查，防止被監聽。如果不懂如何檢查，最好保存好相關的信息後每隔一段時間重置一次；
• 你的 SIM 卡也不一定安全，駭客可以偽造一個相同的 sim 卡獲得你的資料（比如驗證碼）。所以最好不要在網路上炫富，更不要暴露真實身份，這會帶來很多麻煩；
• 如果迫不得已要通過網路傳輸密鑰，身邊的設備可以使用隔空投送功能，網絡傳輸建議 Telegram，可以最大限度地避免被竊取。

五、社會工程學攻擊

駭客除了會尋找軟硬體上存在的漏洞，還會尋找用戶有意無意流露出來的資訊，製造社會工程學攻擊。

1、密碼

不知大家是否知道，我們大多數的 web2 網站都被入侵過，甚至有的網站對密碼根本就沒有加密，網管可以隨意讀取，所以絕對不要把你使用過的密碼用在跟資產有關的地方。建議設置好幾套密碼，分別在不同的網絡和環境下使用，尤其是涉及到大額資金的密碼，必須使用包括大寫、小寫字母、數字、符號的 10 位以上的密碼，且不能含有生日這種容易被猜到的數字。對於一些不熟悉的軟體和網站，也可以單獨使用一套密碼，避免跟其他已知安全的軟體和網站混餚。

這裡有個小建議，如果擔心記不住密碼，你可以使用一串數字為你的生日「加密」。例如，如果你的生日是 19901202，你可以錯位加上一串家人（如 19500821）的生日，像是 19901202+05008210，然後再附上一些字母和符號，駭客沒法猜到經過你自己「加密」的密碼。

2、釣魚

郵件或是其他聊天軟體傳來的不明文件詐騙雖然很土，但依舊奏效，如果遇到必須打開的情況，可以按照上文的方式，在虛擬機中打開。

3、不要輕信任何客服

這在上文已經提過多次，不重複了。

4. 個人資料

Web3.0 的個人資料除了包括生日、電話、家庭住址等，還應包括你的錢包地址，主資產錢包應該跟社交錢包絕對隔離（即不能有互相轉帳的紀錄等），特別對於擼毛黨，如果你不想被舉報，一定不能洩露你的地址。

除了網路上的隱私外，最好不要在生活中透露自己是個搞區塊鏈的，除了能避免很多誤會外，還能盡量避免被熟悉你的人通過你的個人資料進行撞庫攻擊。

關於社會工程學的知識可以再出一個專題，我們要記得別隨意洩露個人隱私就好了。

結語

這篇文章中，我們總結了衝浪 Web3.0 時應對各種駭客攻擊的方式，但道高一尺魔高一丈，駭客們已經開始熟練地將各種攻擊組合在一起，完成更隱蔽、傷害更大的進攻。

只有不斷提高警覺，才能免於受到駭客的侵害。大致來說，我們可以把握以下幾個原則：

• 保持健康的情緒；
• 錢包交互的時候一定要看清楚內容；
• 密鑰、助記詞不能複製，應離線保存；
• 確保各項設備安全，並一直保持更新；
• 不要相信主動聯繫你的「客服」，也不要隨意打開不明來源的文件，靈活使用虛擬機；
• 線上和線下都不要洩露個人隱私和資產。

網絡安全是一個很龐雜的問題，本文難免有遺漏的地方，還請諒解。