稳定币:钓鱼网站“入侵”Web3 这些防技巧必须学会_ETH

作者：

时间：

在维基百科定义中，网络钓鱼是一种企图从电子通信中，透过伪装成信誉卓著的法人媒体以获得如用户名、密码和信用卡明细等个人敏感信息的犯罪过程。

这些通信都声称来自于风行的社交网站、拍卖网站、网络银行、电子支付网站、或网络管理者，以此来诱受害人的轻信。

网钓通常是透过e-mail或者即时通信进行。它常常导引用户到URL与接口外观与真正网站几无二致的假冒网站输入个人资料。就算使用强式加密的SSL服务器认证，要侦测网站是否仿冒实际上仍很困难。网钓是一种利用社会工程技术来愚弄用户的实例，它凭恃的是现行网络安全技术的低亲和度。

在web3世界中，网络钓鱼主要通过twitter、discord、网站伪造等一系列手段实现，通常在过程中伴随着假托、在线聊天、下饵、等价交换、同情心等社会工程学攻击，让人防不胜防。

本文将揭露其中几种web3世界里常见的钓鱼方法，跟我们一起来看看吧。

Phishing

官方Discord被盗，发布钓鱼信息

2022年5月23日，MEE6官方Discord遭受攻击，导致账号被盗，官方discord群里发布mint的钓鱼网站信息。

慢雾：近期出现假冒UniSat的钓鱼网站，请勿交互:5月13日消息，慢雾首席信息安全官 @IM_23pds 在社交媒体上发文表示，近期有假冒比特币铭文钱包及交易市场平台 UniSat 的钓鱼网站出现，经慢雾分析，假网站有明显的传统针对 ETH、NFT 钓鱼团伙的作案特征，或因近期 BRC-20 领域火热故转而制作有关该领域的钓鱼网站，请用户注意风险，谨慎辨别。[2023/5/13 15:01:11]

2022年5月6日，NFT交易市场Opensea官方Discord遭受攻击，黑客利用机器人账号在频道内发布虚假链接，并声称“OpenSea与YouTube达成合作，点击链接可参与铸造限量100枚的mintpassNFT”。

近期，官方discord遭遇攻击的案例越来越多，经过成都链安安全团队分析，其原因可能有：

项目方员工遭受钓鱼攻击，导致账户被盗；

项目方下载恶意软件，导致账户被盗；

项目方未设置双因素认证且使用弱密码导致账户被盗；

安全团队：钓鱼网站盗走2,237枚BNB:金色财经报道，PeckShield监测到钓鱼网站攻击，从流动性提供者的手中转走2,237枚BNB(76.78万美元)，攻击者已经将780枚BNB转移到TornadoCash[2023/4/19 14:13:07]

项目方遭受钓鱼攻击，添加恶意书签从而绕过浏览器同源策略，导致项目方Discordtoken被盗。

防技巧

Phishing

周杰伦遭遇钓鱼攻击，价值百万NFT被盗

2022年4月1日愚人节，周杰伦在Instagram上发文称持有的BAYC#3738NFT已被盗。

据了解，该NFT在今年1月由黄立成赠送。在成都链安安全团队的查看之后，发现周杰伦其0x71de2开头的钱包地址先去mint新项目后遭遇到钓鱼链接，随后在11点左右签名了授权交易，将NFT的权限授予了0xe34f0开头的攻击者钱包，可能这时候杰伦还没意识到自己的NFT，已经处于风险之中。

安全公司：TetherClaims[.]com和TetherLP[.]com是钓鱼网站:金色财经报道，PeckShield在社交媒体上称，PeckShield已经检测到TetherClaims[.]com和TetherLP[.]com是钓鱼网站。恶意行为者滥用事件日志来伪造Etherscan上显示的转账。这些代币并非由Tether发行的USDT稳定币。[2022/7/26 2:37:26]

仅仅过去几分钟，攻击者就在11:07将无聊猿BAYC#3738NFT转移到自己的钱包地址中，随后在LooksRare和OpenSea上将盗取的NFT卖掉，获得约169.6ETH。

防技巧：

Phishing

Google广告漏洞置顶的钓鱼网站

2022年5月10日，Discord和加密威胁缓解系统Sentinel创始人Serpent发推表示，NFT交易平台X2Y2在Google搜索页面的首个搜索结果是网站，它利用Google广告的漏洞，使真实网站和URL看起来完全相同，已经有约100ETH被盗。

Otherside钓鱼网站已导致加密用户损失620万美元:5月2日消息，据加密 KOL zachxbt 在其社交媒体披露，由于 Yuga Labs 元宇宙项目 Otherside 引发了巨大关注，大量针对该项目的钓鱼网站也随之出现，截至目前已导致加密用户损失大量蓝筹 NFT，总价值达 620 万美元。[2022/5/2 2:45:28]

防技巧

Phishing

假机器人伪装成项目方私聊发送钓鱼网站

最近，笔者在关注某一新项目时，从项目官网加入到了官方discord社群，加群后按照国际惯例先进行官方机器人身份验证，然而这一条验证消息却是机器人私信发过来的，此时内心有些疑问，但是看到有“机器人”的提示标签后，也没多想。

但当我再打开链接的时候，发现它自动唤起了我的Metamask钱包，要求输入密码，此时基本确定网站有问题。后经过调试分析发现，该网站并非真正的Metamask弹出的，而是虚假网站仿冒的Metamask钱包界面。而如果你输入密码，就会要求助记词验证，最后密码和助记词都会发送到攻击者的后台服务器，自此，你的钱包就已经被盗了。

钓鱼网站YFIII已经收到100多枚ETH:YFI和YFII掀起的“姨夫”系列上涨风潮，也被一些分子盯上。一个号称下一代聚合器的YFI仿盘YFIII（官网yfiii.org）上线，慢雾科技创始人余弦表示，该网站为钓鱼网站，已经收到了105枚ETH。根据其提供的钱包地址查询后发现，该钓鱼网站随时更换钱包地址。（PANews）[2020/9/2]

防技巧

高仿域名和内容的钓鱼网站

Phishing

目前笔者在市场上发现了各种各样的假冒网站，它们大多对官方网站进行域名、内容等超高程度的模仿。这种方式应该是网络钓鱼中最普遍的存在的，其归纳分析，其主要有以下几种形式：

更换顶级域名，主名不变。例如下图中官网顶级域名是.com，钓鱼网站顶级域名为.fun。

主名添加单词或符号进行混淆，比如opensea-office，cyber-kongz等。

添加二级域名进行混淆，进行钓鱼。

防技巧

上线了opensea的钓鱼项目

Phishing

笔者前段时间在opensea遨游的时候，发现了一个官网还未开售的项目，却在opensea上挂牌了10k，接近5.4kowner。一时间警惕心大起，仔细分析发现了钓鱼的新套路。这个项目首先利用方式5制作了高仿的官网和相似域名，后在opensea上线了相似名字的项目，且加上freemint等字样吸引眼球。