在维基百科定义中,网络钓鱼是一种企图从电子通信中,透过伪装成信誉卓著的法人媒体以获得如用户名、密码和信用卡明细等个人敏感信息的犯罪过程。
这些通信都声称来自于风行的社交网站、拍卖网站、网络银行、电子支付网站、或网络管理者,以此来诱受害人的轻信。
网钓通常是透过e-mail或者即时通信进行。它常常导引用户到URL与接口外观与真正网站几无二致的假冒网站输入个人资料。就算使用强式加密的SSL服务器认证,要侦测网站是否仿冒实际上仍很困难。网钓是一种利用社会工程技术来愚弄用户的实例,它凭恃的是现行网络安全技术的低亲和度。
在web3世界中,网络钓鱼主要通过twitter、discord、网站伪造等一系列手段实现,通常在过程中伴随着假托、在线聊天、下饵、等价交换、同情心等社会工程学攻击,让人防不胜防。
本文将揭露其中几种web3世界里常见的钓鱼方法,跟我们一起来看看吧。
Phishing
官方Discord被盗,发布钓鱼信息
2022年5月23日,MEE6官方Discord遭受攻击,导致账号被盗,官方discord群里发布mint的钓鱼网站信息。
安全团队:发现假冒的Uniswap x DOH空投钓鱼网站,请勿与之交互:金色财经报道,据CertiK监测,发现假冒的Uniswap x DOH空投钓鱼网站,不要与hxxps://uniswapdoh.com/ 互动。该网站会在用户点击认领按钮时扫描其钱包。[2023/4/22 14:20:33]
2022年5月6日,NFT交易市场Opensea官方Discord遭受攻击,黑客利用机器人账号在频道内发布虚假链接,并声称“OpenSea与YouTube达成合作,点击链接可参与铸造限量100枚的mintpassNFT”。
近期,官方discord遭遇攻击的案例越来越多,经过成都链安安全团队分析,其原因可能有:
项目方员工遭受钓鱼攻击,导致账户被盗;
项目方下载恶意软件,导致账户被盗;
项目方未设置双因素认证且使用弱密码导致账户被盗;
项目方遭受钓鱼攻击,添加恶意书签从而绕过浏览器同源策略,导致项目方Discordtoken被盗。
RPG NFT游戏Pixelmon遭钓鱼网站欺诈攻击:5月16日消息,RPG NFT游戏遭到钓鱼网站欺诈攻击,黑客模仿其官方网站 Pixelmon.club 伪造了一个名为Pixelmon[.]gw的网站,钓鱼网站会要求玩家下载游戏,一旦部署可执行文件后,就会窃取用户应用程序的密码,并在计算机上搜索与特定名称匹配的文件,然后将这些文件上传给攻击者。
据NFTGo.io数据显示,当前Pixelmon地板价为0.298ETH,市值约为1866万美元,交易总额达到4424万美元。(bleepingcomputer)[2022/5/16 3:19:42]
防技巧
Phishing
周杰伦遭遇钓鱼攻击,价值百万NFT被盗
2022年4月1日愚人节,周杰伦在Instagram上发文称持有的BAYC#3738NFT已被盗。
据了解,该NFT在今年1月由黄立成赠送。在成都链安安全团队的查看之后,发现周杰伦其0x71de2开头的钱包地址先去mint新项目后遭遇到钓鱼链接,随后在11点左右签名了授权交易,将NFT的权限授予了0xe34f0开头的攻击者钱包,可能这时候杰伦还没意识到自己的NFT,已经处于风险之中。
Otherside钓鱼网站已导致加密用户损失620万美元:5月2日消息,据加密 KOL zachxbt 在其社交媒体披露,由于 Yuga Labs 元宇宙项目 Otherside 引发了巨大关注,大量针对该项目的钓鱼网站也随之出现,截至目前已导致加密用户损失大量蓝筹 NFT,总价值达 620 万美元。[2022/5/2 2:45:28]
仅仅过去几分钟,攻击者就在11:07将无聊猿BAYC#3738NFT转移到自己的钱包地址中,随后在LooksRare和OpenSea上将盗取的NFT卖掉,获得约169.6ETH。
防技巧:
Phishing
Google广告漏洞置顶的钓鱼网站
2022年5月10日,Discord和加密威胁缓解系统Sentinel创始人Serpent发推表示,NFT交易平台X2Y2在Google搜索页面的首个搜索结果是网站,它利用Google广告的漏洞,使真实网站和URL看起来完全相同,已经有约100ETH被盗。
派盾:监测到usdswap[.]io为钓鱼网站,请注意风险:据派盾监测,usdswap[.]io是一个钓鱼网站,请用户当心风险。[2022/3/26 14:19:27]
防技巧
Phishing
假机器人伪装成项目方私聊发送钓鱼网站
最近,笔者在关注某一新项目时,从项目官网加入到了官方discord社群,加群后按照国际惯例先进行官方机器人身份验证,然而这一条验证消息却是机器人私信发过来的,此时内心有些疑问,但是看到有“机器人”的提示标签后,也没多想。
但当我再打开链接的时候,发现它自动唤起了我的Metamask钱包,要求输入密码,此时基本确定网站有问题。后经过调试分析发现,该网站并非真正的Metamask弹出的,而是虚假网站仿冒的Metamask钱包界面。而如果你输入密码,就会要求助记词验证,最后密码和助记词都会发送到攻击者的后台服务器,自此,你的钱包就已经被盗了。
动态 | 警惕伪装成EOS Authority 的钓鱼网站:据IMEOS报道,有钓鱼网站伪装成EOS Authority,诱导用户输入公私钥进行验证,用户在任何地方输入私钥时都应该谨慎辨别,请保管好自己的私钥。[2018/9/11]
防技巧
高仿域名和内容的钓鱼网站
Phishing
目前笔者在市场上发现了各种各样的假冒网站,它们大多对官方网站进行域名、内容等超高程度的模仿。这种方式应该是网络钓鱼中最普遍的存在的,其归纳分析,其主要有以下几种形式:
更换顶级域名,主名不变。例如下图中官网顶级域名是.com,钓鱼网站顶级域名为.fun。
主名添加单词或符号进行混淆,比如opensea-office,cyber-kongz等。
添加二级域名进行混淆,进行钓鱼。
防技巧
上线了opensea的钓鱼项目
Phishing
笔者前段时间在opensea遨游的时候,发现了一个官网还未开售的项目,却在opensea上挂牌了10k,接近5.4kowner。一时间警惕心大起,仔细分析发现了钓鱼的新套路。这个项目首先利用方式5制作了高仿的官网和相似域名,后在opensea上线了相似名字的项目,且加上freemint等字样吸引眼球。
此外,还有些钓鱼网站也会联合钓鱼twitter一起进行:
防技巧
Phishing
真假合约地址
在今年3月出现了一种新局,也是让人开了眼界。APEcoin项目的合约地址为:
0x4d224452801ACEd8B2F0aebE155379bb5D594381
而攻击者伪造了前后几位均相同的假合约,联合钓鱼宣传一起进行钓鱼,假合约为:
0x4D221B9c0EE56604186a33F4f2433A3961C94381
这种攻击方式不多见,但是迷惑性很强。不少有安全意识的人会下意识看下合约地址前后几位是否正常,却几乎不会有人全部记下来的。
防技巧
上述只列举了钓鱼界常见的手段,而如今在web3持续火爆的情况下,钓鱼的方式层出不穷。用户需谨记上述防技巧,尽全力保证自己不被钓鱼。但是如果万一已经被,则可以采取下列措施尽可能补救:
补救措施
马上进行资产隔离,尽快将剩余资产转移到安全位置,避免更大的损失;
主动发布声明,告知大家被盗账户的相关信息,避免危及朋友和社区;
尽可能保留证据,寻求项目方或机构进行后续处理;
可寻求专业的安全公司进行资金追踪,如成都链安。
最后,建议记录并分享被经历,与大家共勉。反钓鱼反,需要每个人都重视,也需要每个人都参与。
MicroStrategy这家软件公司已经购买了超过129,000个比特币,并且不打算出售任何比特币.
所有认识我的人都知道,已故哲学家约翰·罗尔斯的观点在我的思想体系中占据着重要地位。尽管他的巨著《正义论》是半个世纪以前发表的了,但鉴于各平台还在寻求新的盈利机会,进一步拉大贫富差距,罗尔斯的.
在FacebookConnect2021大会上,Facebook创始人扎克巴格表示将在5年内转型为元宇宙公司.
?5月17日,Coinbase宣布CoinbaseApp里可以直接访问和探索Web3,因为支持新的dapp钱包,从而让用户无需再管理助记词。dapp钱包由多方计算(MPC)技术提供支持.
头条 ▌ARKInvest向美国SEC提交实物比特币EFT申请5月26日消息,ARKInvest已经向美国证券交易委员会提交实物比特币EFT的申请文件.
EVM?可能比区块链本身更重要实际上,大家所熟知的以太坊只是以太坊区块链的一种实现。在硬币的另一面,以太坊虚拟机可以理解为基于区块链的开源软件「开发平台」,允许开发人员创建去中心化应用程序.