進入新周期，鏈上交互風(fēng)險隨著用戶活躍度的增加而日益暴露。釣魚者通常會采用假冒錢包網(wǎng)站、竊取社交媒體賬號、創(chuàng)建惡意瀏覽器插件、發(fā)送釣魚郵件和信息以及發(fā)布虛假應(yīng)用程序等方式，誘使用戶泄露敏感信息，導(dǎo)致資產(chǎn)損失，釣魚形式和場景呈現(xiàn)多樣性、復(fù)雜性和隱匿性等特征。

比如，釣魚者一般通過創(chuàng)建與正規(guī)錢包網(wǎng)站外觀相似的假冒網(wǎng)站，誘使用戶輸入其私鑰或助記詞，這些假冒網(wǎng)站通常會使用社交媒體、電子郵件或廣告進行推廣，誤導(dǎo)用戶認(rèn)為他們正在訪問正規(guī)的錢包服務(wù)，從而盜取用戶的資產(chǎn)。此外，還有釣魚者可能會利用社交媒體平臺、論壇或即時通訊應(yīng)用程序，偽裝成錢包客服或社區(qū)管理員，向用戶發(fā)送虛假消息，要求他們提供錢包信息或私鑰，這種方式利用了用戶對官方的信任，誘使他們泄露私人信息等等。

總之，這些案例突出了釣魚行為對Web3錢包用戶的威脅。為幫助用戶提高Web3錢包使用安全意識，并保護資產(chǎn)安全免受損失，OKX Web3深入社區(qū)調(diào)研并收集了眾多Web3錢包用戶遭遇過的釣魚事件，從而提煉出用戶最常遇到的4大典型釣魚場景，并通過不同場景下的細(xì)分案例，采用圖文案例結(jié)合的方式，撰寫了Web3用戶該如何進行安全交易的最新指南，供大家學(xué)習(xí)參考。

惡意信息來源

1、熱門項目推特回復(fù)

通過熱門項目推特回復(fù)是惡意信息的主要方式之一，釣魚推特賬號可以從Logo、名字、認(rèn)證標(biāo)識等都做到和官方號一模一樣，甚至連Follower數(shù)量也可以是幾十K，而唯一能區(qū)別兩者的就是——推特handle（注意相似字符），請用戶務(wù)必擦亮眼睛。

此外，很多時候，假賬號會在官推消息下面故意回復(fù)，但回復(fù)內(nèi)容中帶有釣魚鏈接，很容易讓用戶以為是官方鏈接，從而上當(dāng)受騙。目前，有些官方賬號目前在推文中，會增加End of Tweet推文，提醒用戶防范后續(xù)回復(fù)中可能包含釣魚鏈接的風(fēng)險。

2、盜取官方推特/Discord

為增加可信性，釣魚者還會盜取項目方或者KOL的官方推特/Discord，以官方名義發(fā)布釣魚鏈接，所以很多用戶很容易上當(dāng)。比如，Vitalik的推特賬號以及TON項目官方推特就曾被盜取，釣魚者借機發(fā)布了虛假信息或者釣魚鏈接。

3、谷歌搜索廣告

釣魚者有時會使用谷歌搜索廣告發(fā)布惡意鏈接，用戶從瀏覽器顯示的名字看為官方域名，但點擊后跳轉(zhuǎn)到的鏈接為釣魚鏈接。

4、虛假應(yīng)用

釣魚者還會通過虛假應(yīng)用從而誘導(dǎo)用戶。比如當(dāng)用戶下載安裝了釣魚者發(fā)布的假錢包，會導(dǎo)致其私鑰泄漏和資產(chǎn)丟失。有釣魚者曾修改過的Telegram安裝包，從而改變了接收和發(fā)送代幣的鏈上地址，導(dǎo)致了用戶資產(chǎn)的損失。

5、應(yīng)對措施：OKX Web3錢包支持釣魚鏈接檢測及風(fēng)險提醒

當(dāng)前，OKX Web3錢包通過支持釣魚鏈接檢測及風(fēng)險提醒，為幫助用戶更好地應(yīng)對上述問題。比如，用戶通過OKX Web3插件錢包使用瀏覽器訪問網(wǎng)站時，如果該域名為已知惡意域名，則會第一時間收到告警提醒。此外，如果用戶使用OKX Web3 APP在Discover界面訪問第三方DAPP時，OKX Web3錢包將會自動針對域名進行風(fēng)險檢測，如果其為惡意域名，則會進行攔截提醒，禁止用戶訪問。

錢包私鑰安全

1、進行項目交互或者資格驗證

釣魚者會在用戶在進行項目交互或者資格驗證時候，偽裝成插件錢包彈窗的頁面或者其他任何網(wǎng)頁，要求用戶填寫助記詞/私鑰，這類一般都是都是惡意網(wǎng)站，用戶應(yīng)該提高警惕意識。

2、冒充項目方客服或者管理員

釣魚者經(jīng)常會冒充項目方客服或者Discord管理員，并提供網(wǎng)址讓用戶輸入助記詞或者私鑰，這種情況說明對方是釣魚者。

3、其他助記詞/私鑰泄漏可能路徑

用戶助記詞和私鑰泄漏可能路徑有很多，常見的包括電腦被植入木馬病毒軟件、電腦使用了擼毛用的指紋瀏覽器、電腦使用了遠(yuǎn)程控制或代理工具、助記詞/私鑰截圖保存相冊，但被惡意APP上傳、備份到云端，但云端平臺被入侵、輸入助記詞/私鑰過程被監(jiān)控、身邊人物理獲取到助記詞私鑰文件/紙 、以及開發(fā)人員推送包括私鑰代碼到Github等等。

總之，用戶需要安全地存儲和使用助記詞/私鑰，從而更好的保證錢包資產(chǎn)安全。比如，當(dāng)前作為去中心化的自托管錢包，OKX Web3錢包上線iCloud/Google Drive云端、手動、硬件等多種助記詞/私鑰備份方式，已成長為市面上支持私鑰備份方式較為全面的錢包，為用戶提供較為安全的私鑰存儲方式。在用戶私鑰被盜問題上，OKX Web3錢包已支持Ledger、 Keystone、Onekey 等較為全面的主流硬件錢包功能，硬件錢包的私鑰存儲在硬件錢包設(shè)備里，由用戶自己掌握，從而保障資產(chǎn)安全。也就是OKX Web3錢包讓用戶通過硬件錢包安全管理資產(chǎn)的同時，又可以自由參與鏈上代幣交易、NFT市場和各類dApp項目交互等。此外，OKX Web3 錢包現(xiàn)已上線 MPC無私鑰錢包、以及AA智能合約錢包，幫助用戶進一步簡化私鑰問題。

4大經(jīng)典釣魚場景

場景1、竊取主鏈代幣

釣魚者往往會給惡意合約函數(shù)起名為Claim，SeurityUpdate等具有誘導(dǎo)性名字，而實際函數(shù)邏輯為空，從而只轉(zhuǎn)移用戶主鏈代幣。當(dāng)前OKX Web3錢包已上線交易預(yù)執(zhí)行功能，顯示該交易上鏈后資產(chǎn)及授權(quán)變化，從而進一步提醒用戶注意安全。另外，如果其交互合約或授權(quán)地址為已知惡意地址，則會進行紅色安全提醒。

場景2、相似地址轉(zhuǎn)賬

當(dāng)監(jiān)測到有大額轉(zhuǎn)賬時，釣魚者會通過地址碰撞生成和接收地址首位若干位相同的地址，利用transferFrom進行0金額轉(zhuǎn)賬，或利用假USDT進行一定金額轉(zhuǎn)賬，污染用戶交易歷史，期望用戶后續(xù)轉(zhuǎn)賬從交易歷史拷貝錯誤地址，完成ZP。

https://tronscan.org/#/transaction/27147fd55e85bd29af31c00e3d878bc727194a377bec98313a79c8ef42462e5f

場景3、鏈上授權(quán)

釣魚者通常會誘導(dǎo)用戶簽署approve / increaseAllowance / decreaseAllowance / setApprovalForAll 交易，以及升級使用Create2生成預(yù)先計算好的新地址，繞過安全檢測，從而騙取用戶授權(quán)相關(guān)。OKX Web3錢包會針對授權(quán)交易進行安全提醒，請用戶注意該交易為授權(quán)相關(guān)交易，注意風(fēng)險。另外，如果交易授權(quán)地址為已知惡意地址時，會進行紅色信息提醒，避免用戶上當(dāng)受騙。

場景4、鏈下簽名

除了鏈上授權(quán)外，釣魚者還會通過誘導(dǎo)用戶進行鏈下簽名的方式進行釣魚。比如，ERC20代幣授權(quán)允許用戶授權(quán)給另外一個地址或合約一定額度，被授權(quán)地址可以通過transferFrom轉(zhuǎn)移用戶資產(chǎn)，釣魚者就是利用這種特點進行zp。當(dāng)前OKX Web3錢包正在針對此類場景開發(fā)風(fēng)險提示功能，當(dāng)用戶簽署離線簽名時，通過解析簽名授權(quán)地址，如果命中已知惡意地址，會對用戶進行風(fēng)險提示。

其他釣魚場景

場景5、TRON賬號權(quán)限

這類場景比較抽象，一般是釣魚者通過獲取用戶TRON賬號權(quán)限來控制其資產(chǎn)。TRON賬號權(quán)限設(shè)置和EOS類似，分為Owner和Active權(quán)限，并可以設(shè)置類似多簽形式進行權(quán)限控制，如下權(quán)限設(shè)置Owner門限為2，兩個地址權(quán)重分別為1和2，第一個地址為用戶地址，權(quán)重為1無法單獨操作賬號。

https://tronscan.org/#/wallet/permissions

場景6、Solana代幣及賬號權(quán)限

釣魚者通過SetAuthroity修改代幣ATA賬戶Ownership，相當(dāng)于代幣轉(zhuǎn)給了新的Owner地址。用戶被該方法釣魚后，資產(chǎn)轉(zhuǎn)移給釣魚方等等。此外，如果用戶簽署了Assign交易，其正常賬號的Owner將從System Program被修改為惡意合約。

場景7、EigenLayer調(diào)用 queueWithdrawal

由于協(xié)議本身的設(shè)計機制等問題，也很容易被釣魚者利用?；谝蕴坏闹虚g件協(xié)議EigenLayer的queueWithdrawal調(diào)用，允許指定其他地址作為withdrawer，用戶被釣魚簽署了該交易。七天后，指定地址通過completeQueuedWithdrawal獲得用戶的質(zhì)押資產(chǎn)。

探索鏈上世界，安全第一

安全使用Web3錢包是保護資產(chǎn)的關(guān)鍵措施，用戶應(yīng)切實采取預(yù)防措施以防范潛在的風(fēng)險和威脅?？梢赃x擇行業(yè)知名的、經(jīng)過安全審計的OKX Web3錢包、更安全便捷地探索鏈上世界。

作為行業(yè)最先進以及功能最全面的錢包，OKX Web3錢包完全去中心化、且自托管，支持用戶一站式玩轉(zhuǎn)鏈上應(yīng)用，現(xiàn)已支持 85+ 公鏈，App、插件、網(wǎng)頁三端統(tǒng)一，涵蓋錢包、DEX、DeFi、NFT 市場、DApp 探索 5 大板塊、并支持 Ordinals 市場、MPC 和 AA 智能合約錢包、兌換 Gas、連接硬件錢包等。此外，用戶還可以通過安全地保護私鑰和助記詞、定期更新錢包應(yīng)用和操作系統(tǒng)、謹(jǐn)慎處理鏈接和信息以及啟用多重身份驗證功能，從而增加錢包的安全性。

總之，在鏈上世界，資產(chǎn)安全大于一切。

用戶需要謹(jǐn)記這3條Web3安全規(guī)則：不要在任何網(wǎng)頁填寫助記詞/私鑰、謹(jǐn)慎點擊錢包交易界面 確認(rèn)按鈕、以及推特/Discord/搜索引擎獲得的鏈接可能是釣魚鏈接。