加密行业的黑暗森林危机四伏，NFT被盗事件和金额逐年增多，本文将梳理常见的局类型及防范技巧。
加密行业的黑暗森林危机四伏，暗藏着各式各样的危机与陷阱，资产被盗的剧情经常上演，热门赛道NFT和知名玩家们亦不能幸免。NFT项目Moonbirds创始人Kevin Rose在1月25日证实，其个人钱包遭到黑客攻击，共丢失25枚Chromie Squiggles以及其它NFT。
随着NFT被盗事件和金额增多，本文PANews将梳理常见的局类型及防范技巧。
NFT市场规模与日俱增的同时，“零元购”被盗事件愈发频繁，且攻击手法层出不穷。
1、虚假广告窗口
近期，加密KOL NFT God发推称，因黑客入侵其Twitter、Substack、Gmail、Discord和钱包，导致其损失全部加密资产和NFT，黑客还通过盗取的账号发布链接。被黑原因为此前在新设备上把Ledger设置为热钱包而不是冷钱包，助记词在联网电脑上的钱包导入使用后，然后在下载视频流软件OBS进行游戏直播后，点击了谷歌上的赞助商链接下载了恶意软件，使黑客可以访问其资金。实际上，谷歌的广告允许任何人绕过排名并在搜索结果排在第一位，而用户点击这类展示广告的概率非常高，这也为提供了更多可能性。
比特币货币经济学家：Circle正在将其对USDC储备的部分控制权交给受SEC监管的外部经理:金色财经报道，比特币货币经济学家John Paul Koning在社交媒体上称，Circle的最新证明报告显示，USDC 30%的储备金（价值约127.9亿美元）投资于其政府货币市场基金。Circle Reserve Fund由贝莱德管理，这比10月份的0%有所上升。
从那时起，投资于 Circle Reserve Fund 的 USDC 储备金比例已上升至约 286 亿美元，即 65%。这似乎是 USDC 用户的胜利。Circle 正在将其对 USDC 储备的部分控制权交给受 SEC 监管的外部经理，这最终使 USDC 更加安全。透明度也提高了，因为 USDC 用户现在可以从 BlackRock 获得定期更新。[2023/1/9 11:01:50]
2、虚假空投诱
韩国监管机构已查出通过加密交易所进行的异常境外汇款规模达33.7亿美元:7月27日消息，韩国金融监管服务局（FSS）副局长???就“大额海外汇款相关银行检查进行情况”举行新闻发布会表示:“已经确认，大部分汇款交易都是由韩国虚拟资产交易所转账的资金存入贸易公司账户后汇往海外。”金融监督院以友利、新韩两家银行为对象，截至目前掌握的以上外汇汇款交易规模为4.1万亿韩元(33.7亿美元)，比当初这些银行向金融监督院报告的规模2.5万亿韩元大幅增加。涉及大额海外汇款的企业也从最初报告的8家增加到22家。FSS计划在未来采取进一步行动，根据银行的自查结果以及未来的进一步调查，将“异常境外汇款”公司通知检方和韩国海关总署。（韩联社）[2022/7/27 2:40:17]
“高价”收购被空投NFT是种新型手段，受害者在收到一些不知名的NFT空投后，会被者开出高价进行收购。如果投资者选择交易该NFT，会在因一些特殊原因导致交易报错提示时进入虚假的钓鱼网站进行授权，最终导致自己资产被盗。
动态 | 尼日利亚银行业监管机构担忧比特币“脱媒”:据cointelegraph消息，尼日利亚银行业监管机构——尼日利亚存款保险公司（NDIC）CEO Ibrahim Umaru近日表达了对比特币投资“脱媒”的担忧。他表示，“比特币等数字货币的扩散，以及金融技术公司的活动，导致银行系统的部分脱媒，这些都是该公司极为关注的问题。”[2018/12/12]
3、伪造NFT
今年3月，日本东京的Whitestone发布一起NFT相关诈欺公告，表示有非官方人士假借白石画廊之名义，贩售知名艺术家草间弥生之NFT。其实，市面上有不少者通过剽窃艺术家作品并在NFT市场上架假版本，使得不少人购买了无任何价值假NFT。不仅如此，还有些局会在NFT交易平台上传名称相似的假冒项目，甚至还会创建几笔交易来迷惑用户，对于一些习惯使用搜索功能的用户而言非常容易中招。
AM&T合伙人森胁章：政府监管和自我监管“双管齐下”:据金色财经前方记者报道，今日在韩国TokenSky区块链大会的“首尔共识”圆桌会议上，日本老牌国际商务律所AM&T的合伙人森胁章分享了他对于日本数字货币监管的看法。他表示，虚拟货币代理商应该进行注册，日本自去年4月通过修改《资产结算法》，合法化数字货币后，逐步成为全球数字货币交易量最大的国家。而Coincheck被盗事件引发政府和民间对交易所安全性的普遍关注，政府方面加强监管，进行实地检查；交易所他们也成立自律组织，进行自我监管，双管齐下。[2018/3/14]
4、虚假电子邮件
今年2月，OpenSea官方进行智能合约升级，用户需将他们在以太坊上的NFT列表迁移至新的智能合约中。黑客趁机伪装成官方给用户发了一封升级提醒邮件，不少防范意识不强的用户对钓鱼链接进行了钱包授权后导致NFT资产被盗，包括Bored Ape Yacht Club、Cool Cats、Doodles和Azuki等。
INX Limited与Entoro Capital达成合作，其平台将上线NFT:10月26日消息，基于区块链的数字证券和加密货币交易平台所有者INX Limited宣布与投资银行Entoro Capital LLC建立合作关系，将NFT作为证券在INX的Digital Securities ATS上线。
限量版NFT的营销和销售是在原画创作的同时通过竞争性销售过程进行。将要铸造的十个NFT中有九个是通过Entoro的专有证券发行平台OfferBoard在线出售。艺术家Rolando Diaz在Texas Blockchain Summit期间现场创作了一幅画，主题为“Sailing to the Moon”，其NFT名称为“Buen Viaje”或“Good Voyage”。（PRNewswire）[2021/10/26 20:59:36]
由于不少NFT项目要求用户进行邮箱绑定来第一时间获取消息，这也使得很多攻击者冒充官方并以合约地址修改、钱包重新验证等由向用户发送钓鱼链接，因此邮箱也成为了的重灾区。
5、官方被黑或被伪装
或因员工被钓鱼攻击、下载恶意软件、未设置双重认证等多方面原因，NFT项目的官方账号也常常被黑。2022年4月，Bored Ape Yacht Club官方Instagram帐户遭到黑客攻击，黑客利用该Instagram账户分享了一个仿冒无聊猿游艇俱乐部网站的欺诈链接，其中包含让用户将他们的MetaMask连接至钱包以参与虚假空投，随后黑客窃取了价值超过280万美元的NFT。同年6月，Yuga Labs的Discord服务器被黑，攻击者利用该账户在官方BAYC及元宇宙项目中发布钓鱼链接后获利。
当然，还有些者通过伪造NFT项目的官方账户并取得用户信任后，会发送钓鱼网站让他们签名，即不花费任何资金就可购买账户内的NFT，而大部分用户是无法辨别由一串数字和字母组合的签名内容中的问题。此外，私信链接是是常用的行方式，他们往往会通过Telegram、Discord等平台中的各类社区批量私信成员，甚至冒充管理员来取用户的钱包私钥。
6、生成相同尾号地址
通常而言，大部分用户只会通过检查合约地址前后位数来判断地址是否正确，这也给了攻击者机会。他们会利用用户复制历史交易记录中过往地址的习惯，伪造一份前后相同位数的合约并不断空投小额数量的Token，若用户不仔细检查完整地址则很容易被盗取资产。另外，除了相同尾数局，零转账的链上地址投攻击也需警惕，不少用户会将该地址当作可信的交互地址。
链上操作是不可逆的。被盗取资产后，大部分人其实很难再找回，特别是没有任何技术技能的普通用户。那么，该如何避免自己资产被？
1、保护好私钥或助记词：与电子邮件、社交平台等Web2账户泄露可更改密码不同，私钥与助记词作为钱包的“钥匙”无法修改与找回，一旦泄露资产就会被洗劫一空。攻击者会通过NFT空投/抽奖、Free Mint等FOMO情绪诱导用户发送自己的私钥或助记词，甚至还会伪装成官方管理员、搭建假域名网站等种方式来降低用户的警惕性。
2、收藏常用网站并甄别官方社交账号：虽然钓鱼网站是最容易被识别的，但NFT资产被盗的主要原因之一。实际上，这类网站无论被包装的多精美（可检查域名、网址拼写等），最终目的是与钱包交互，用户应该保持谨慎态度，收藏经常使用的官方网站，从官网进入社交账号（可通过粉丝数、账户活动、评论参与度等方面进行判断），及别轻易点开私信或邮件分享的链接将很大程度上避开资产被盗的可能性。另外，虽然大部分用户不具备辨别合约风险的能力，但通过安装反网络钓鱼插件，也将有效协助识别部分钓鱼网站。
3、资产隔离并定期检查：使用多个钱包参与NFT交易和铸造等行为，且储存资产和应用交互的钱包需做好隔离，特别是存有大额资金的钱包应避免任何交互。此外，用户还需定期检查钱包是否存在与异常合约交互并及时取消授权。
4、多方信息交叉认证：在参与和铸造NFT前尽职调查非常重要，用户可通过检查社交账户是否验证、多个渠道交叉检查项目信息等方式来评估。
5、仔细核对地址：对于任何转账行为，用户需检查完整的合约地址，也可使用钱包的地址簿转账功能通过直接选择地址转账。另外，对于一些参与项目的合约地址，用户可从官方渠道获取地址，避免被中间攻击者修改。
当然，随着技术的不断进步，资产盗取手法也在与时俱进，因此一旦自己的资产被盗，用户需第一时间隔离自己的资产并更改社交账号密码等个人信息，同时还需告知其他被账户的相关信息。若是病性攻击，还需将电脑等设备进行断网。此外，用户还可以寻求专业的安全公司进行资金追查，以最大程度弥补资金损失。
Nancy
个人专栏
阅读更多
金色财经
金色早8点
Odaily星球日报
Arcane Labs
澎湃新闻
深潮TechFlow
欧科云链
链得得
MarsBit
BTCStudy
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。