NFT 防盜指南：如何保護資產安全？

隨著 NFT 用戶數、交易量和市值的不斷攀升，釣魚者、駭客等不法分子也開始瞄準這個市場，進一步威脅 NFT 生態的安全。

區塊鏈安全和數據分析公司 PeckShield 編寫的表格顯示，在一次釣魚攻擊中，254 個總價值約為 170 萬美元的 NFT 遭到盜竊；愚人節當天，周杰倫的 NFT BAYC#3738 被盜走，該事件是由釣魚網站誘導 mint 從而獲得用戶 NFT 操作權的典型案例；一個名為 MoonManNFT 的項目，以 free mint 為噱頭，盜走了近 400 個 NFT。

一般來說，駭客會通過 Discord 和 Telegram 鎖定收藏者，並通過誘導 mint、釣魚攻擊等方式盜走用戶的 NFT 資產。隨著當下技術發展，NFT 投資者和收藏者必須及時了解保護資產的最新方法。

NFT 安全儲存基本知識

請牢記：

• 你的 NFT 並非儲存在電腦或行動設備上，而是在 IPFS 或 Arweave 這樣的去中心化空間。
• 擁有私鑰，就有了對區塊鏈/ 你的資產的完全訪問權限。
• Shamir 私鑰分割方案能為助記詞提供二級保護。

1. 你的 NFT 儲存在哪裡？

NFT 並非儲存在冷錢包、PC 端或熱錢包中。NFT 是位於區塊鏈上的代幣，由全球 2400 多個運行中的網絡節點承載。NFT 受到完全去中心化系統的支持，它能確保 NFT 生態正常運轉，也能夠驗證線上交易。當你進行 NFT 交易時，實際發生的活動是數據庫對該 NFT 的地址進行更改。

2. 你的圖片、動圖和音樂在哪裡？

NFT 的 URI（統一資源標識符）標記了圖片的位置。NFT 一般位於像 IPFS 或 Arweave 等去中心化儲存空間。在 Web2 中，也有 AWS 這樣的中心化儲存器。

3. 錢包

錢包是一個儲存私鑰的工具，能夠支持交易活動。錢包分為兩種：熱錢包（軟體錢包）和冷錢包（硬體錢包）。

熱錢包（軟體錢包）：能夠在通用設備上運行的軟體，能與 Web3 連接，只要有網路連接就能接收資產。

冷錢包（硬體錢包）：專用於硬體設備，能與 Web3 連接並接收資產。它與熱錢包的主要區別是，冷錢包的助記詞從不聯網，若要進行交易，必須通過物理手段批准。

選擇了合適的錢包後，你需要了解它的功能：

首先，熱錢包/ 冷錢包會要求你創建一個密碼，此密碼在特定設備上是唯一的。只有知道密碼，才能訪問錢包。

你可以自由分享錢包的公共地址，此地址與 Web3 的電郵地址沒有區別，知道了你的地址，任何人都能向你發送 NFT。這也就催生了新的駭客攻擊載體。駭客會向人們發送 NFT，當人們與該 NFT 互動時（比如將其發送至另一錢包，或出售它），駭客就會竊取此人錢包中的資產。請謹記，不要點開陌生 NFT！此外，人們也會利用流氓簽名或批准來獲取你的 IP 地址。

釣魚郵件也是尋常的詐騙方式。郵件的目的是引誘你把錢包連接到虛假網站，以便駭客竊取資產。所以，千萬不要點開陌生連結！務必時時檢查網站名稱。目前駭客攻擊的方法比較單一，只能從公共地址和電郵下手，只要不理會它們就可以了。

你要保管好私鑰，它是訪問你的公共地址的密碼，私鑰的功能有：

（1）將你的 NFT 移出地址。

（2）簽署合約，來證明你擁有該地址的私鑰（類似於驗證你擁有該公共地址）。

公共地址和私鑰最大的區別是，你永遠也不能向任何人透露自己的私鑰。否則，他們就能把你的私鑰導入他們的錢包，竊取你所有的資產。

明確了私鑰和公共地址的概念，我們再來看一下助記詞。助記詞一般由 12、18 或 24 個單詞構成，用於找回錢包。如果丟失私鑰，你可以使用助記詞新建一個。與私鑰一樣，助記詞永遠不能被第二個人知道，也不能儲存在電子設備或服務商中（比如 Google 雲端硬碟、icloud、相簿、手機記事本）。最理想的方式是物理儲存，比如寫在紙上。有人也使用鐵製品儲存助記詞，因為它更加防火。其他方式，例如口令，也能增加錢包安全性。口令是一串符號或單詞，將其與助記詞結合，就能在原有錢包的基礎上創建新錢包。打個比方，若要在原有錢包的基礎上創建新的錢包，只需輸入：

• 助記詞+ 任意數字
• 助記詞+ 任意字母
• 助記詞+ 任意短語

上述任一方式都能創建一個具有不同私鑰公共地址的新錢包，但口令這一功能只對冷錢包適用。

4. 添加第二層保護

購買冷錢包是提升安全性的有效途徑。Trezor、Ledger 和 Keystone 是幾款最受歡迎的硬體錢包，但各自有優勢和不足。每種冷錢包都有其特色。比如 Keystone 使用 QR Code 進行數據傳輸，避免木馬病毒通過 USB 或者藍牙被傳輸到硬體錢包的風險，同時也是首個支持 ENS (Ethereum Name Service) 的硬體錢包，免去了核對原始地址的麻煩。

我們以 Keystone 為例進行設置。

（1）從官方網站購買 Keystone 錢包。

（2）安裝 Keystone 套件。

（3）啟動 Keystone。

（4）設置你錢包的 PIN—— 專屬於此設備的口令。

（5）如果是企業使用的話，推薦使用 Shamir 私鑰分割方案，把 2 組助記詞分成 3 組，或把 3 組助記詞分成 5 組，你可以把這 3 組私鑰保存在不同地方。如果你有 5 個 Shamir 備份中的 3 個並且丟失了其中 2 個，你仍然可以使用剩餘的 3 個備份來恢復您的錢包。

我們以轉移一個 BAYC 為例，具體來模擬 NFT 硬體錢包的使用方式。在 Keystone 中，用戶可以使用 microSD 卡中上傳的 ABI 數據文件快速確認地址的真實性，地址旁邊會出現藍色字體的「Board Ape Yacht club」，還需要確認該交易是否涉及任何惡意行為，以免將您的 NFT 簽署給詐騙者或駭客。

避免 NFT 詐騙的方法

1. 務必從官網下載 Web3 app 或錢包

導致加密貨幣/ NFT 駭客攻擊的主要原因是用戶對非官方網站的訪問。絕大多數此類網站是為了行騙而建立，看上去與官方網站極其相似。不要從 Google Play 下載 Web3 app，它們可能不是從原始渠道獲取的。你可以參考以下建議，來鑑別官方網站：

（1）關注網址。只點擊以 https:// 開頭的網址（不要點 ），「s」代表「安全」，表示該網站的數據是加密傳輸的，能阻止駭客攻擊。

（2）檢查域名。駭客最青睞的伎倆就是創建冒牌網站，其域名與正版網站十分相似，要細看才能察覺區別。例如，https://wobble.com 這個網站的山寨版可以是 w0oble.com。請記得時時檢查域名的所有字母。

（3）留心拼寫錯誤。多數虛假網站是粗糙趕工而成，拼寫、大小寫和語法常會出錯。

2. 只瀏覽官方頻道、官方推特和官方連結

前面提到，你只能相信官方網站、推特帳號和 discord。你可以參考下列建議來驗證：

（1）檢查帳號活動。

（2）檢查粉絲數。

（3）檢查帳號歷史。

（4）檢查評論和社群活躍度。

3. 不要與任何人共享登入憑證或私鑰

有句話在加密圈十分流行：「無鑰即無幣，幣鑰為一體」。一旦你的私鑰或助記詞被分享出去，這個帳戶就再也不屬於你了。最好的做法，是不讓其他人拿到私鑰。

4. 先驗證 NFT 再購買

在 NFT 生態系統中，盡職調查總是非常重要。購買或鑄造 NFT 之前，務必要檢查項目團隊的聲譽，其社群中的有機互動，以及人們對該項目的看法。

5. 使用多個錢包鑄造 NFT

比如，Burner 錢包是專為 NFT 鑄造創造的二級錢包。這些錢包都是以鑄幣所需的 gas 數額來創建並注資。鑄幣完成後，鑄成的 NFT 被發送到另一個錢包，它的作用是儲存 NFT。這就減少了主錢包與易被攻擊網站互動的風險。你可以創建多個 burner 錢包，一旦發現漏洞，就立即丟棄它。

6. 謹慎點擊陌生連結

駭客的常見騙術，是通過陌生的 Discord 帳戶或郵件發送贈品或白名單連結。務必將 Telegram、Discord 和郵件設置為不接收陌生帳號或非官方地址的消息。

7. 檢查代幣批准&撤銷不使用的代幣

人們每天都與不同的協議和連結互動，基於智能合約上的資訊給予其訪問權限和許可。時常審查和撤銷訪問權限十分重要。市面上有網站可以幫您取消訪問權。

8.  仔細閱讀並核實智能合約的交易條款

確認交易前，務必確保自己認真閱讀了智能合約中的每個細節。很多駭客利用智能合約騙取許可，從而隨意訪問你錢包中的資金。你要認真閱讀，確保合約中的細節不會構成威脅，也不存在漏洞。

9. 緊跟新聞，了解新漏洞

結語

人們對 NFT 市場的興趣日益增加，不法分子也潛伏其中，利用伎倆從收藏者和投資者手中偷取作品和資金，請確保自己的寶貴資產、錢包和資金不落入駭客手中。

---

（以上內容獲合作夥伴 火星財經 授權節錄及轉載，原文連結 | 出處：NFTGo）

聲明：文章僅代表作者個人觀點意見，不代表區塊客觀點和立場，所有內容及觀點僅供參考，不構成投資建議。投資者應自行決策與交易，對投資者交易形成的直接間接損失作者及區塊客將不承擔任何責任。

好文章出於 區塊客