鏈上操作必備防坑指南 |鏈捕手
區(qū)塊鏈技術(shù)是當(dāng)前時(shí)代最重要的創(chuàng)新之一，使得去中心化真正成為可能，任何人都對自己的鏈上資產(chǎn)享有絕對的控制權(quán)，外界無法進(jìn)行任何干涉與操作。
這種權(quán)利相伴的則是責(zé)任，這意味著用戶需要對自己的資產(chǎn)安全負(fù)100%的責(zé)任，在私鑰保存、日常操作方面都需要格外注意，一旦私鑰或者助記詞失竊，所有資產(chǎn)都會面臨被盜風(fēng)險(xiǎn)。盡管許多項(xiàng)目方（例如Tether）理論上能通過智能合約控制鏈上資產(chǎn)并找回被盜資產(chǎn)，但通常只會在黑客故意攻擊并造成大量損失時(shí)才會給予幫助，個(gè)人失誤造成的資產(chǎn)損失很難得到項(xiàng)目方的援助。
可以預(yù)見，未來越來越多的交易活動將向鏈上轉(zhuǎn)移，但不巧的是，鏈上騙局如今仍在大量出現(xiàn)，并衍生出許多新形式，多名讀者曾向鏈捕手反映遭遇鏈上詐騙并損失數(shù)萬元，但都已經(jīng)無法挽回。為了幫助更多加密行業(yè)初入門者了解一些行業(yè)常識，避免踩坑，鏈捕手在本文中總結(jié)了一些常見的騙局手法，具體如下：
作者?| 谷昱
01
假幣騙局
案例：小茗關(guān)注的項(xiàng)目正在進(jìn)行IDO，在電報(bào)群看到有人發(fā)布了代幣智能合約地址，小茗將改地址在Uniswap輸入后發(fā)現(xiàn)已經(jīng)可以交易，并且有價(jià)值大幾十萬元的流動性，隨即購買了1個(gè)ETH，但此后上漲1倍多并準(zhǔn)備賣出時(shí)發(fā)現(xiàn)，系統(tǒng)提示無法賣出，相當(dāng)于歸零。
分析：這種情況屬于假幣騙局，某些詐騙集團(tuán)會批量發(fā)行幣種并以關(guān)注度高的幣種為名字，并建立Uniswap交易池、注入一定流動性，意圖誤導(dǎo)用戶為真幣，然后在一些社交媒體渠道傳播智能合約地址，但這種代幣的智能合約代碼中實(shí)際上已經(jīng)規(guī)定只允許發(fā)行方出售代幣，其他用戶只能買入不能出售，而用戶如果在社交媒體看到地址并信以為真，在買入其代幣后就只能坐視其上漲并最終歸零。
據(jù)鏈捕手觀察，大部分Uniswap上的假幣都是由一個(gè)特定詐騙集團(tuán)發(fā)行，每個(gè)代幣發(fā)行方地址都能通過轉(zhuǎn)賬記錄相關(guān)聯(lián)， 最近2個(gè)月至少發(fā)行了70余種假幣，獲利至少在4000 ETH以上。
在具體手法方面，他們還會向被標(biāo)記為幣安、V神與0x-b1的地址轉(zhuǎn)入部分假幣，以吸引這些地址關(guān)注者的注意；每次發(fā)行活動周期大概3-5天，先在Uniswap添加上百個(gè)ETH的流動性，待很少有購買用戶后撤出全部流動性，然后將所有ETH轉(zhuǎn)入新地址重新發(fā)行新幣，不定期還會通過Tornado.cash轉(zhuǎn)移資金。
更具誤導(dǎo)性的是，這些詐騙集團(tuán)還會制造某些巨鯨在購買這些幣種的假象。如下圖所示，該地址被廣泛認(rèn)為由孫宇晨所有，擁有數(shù)十億美元的資產(chǎn)，而在十余天Etherscan顯示其地址從Uniswap購買了數(shù)種新幣，某些巨鯨地址跟蹤者看到這些記錄可能就會「跟單」，但如果點(diǎn)開其具體交易記錄，可見交易行為并非由該地址所有人發(fā)起，而是假幣發(fā)行方地址利用智能合約直接從Uniswap購買并將孫宇晨地址設(shè)為收幣地址所致。
除了孫宇晨地址以外，Etherscan顯示的許多ETH大戶地址都有類似情況發(fā)生。
因此，大家在Uniswap進(jìn)行交易時(shí)務(wù)必要使用官方公布的合約地址，或者Uniswap推薦列表中的幣種，在其它渠道看到的智能合約地址要保持警惕，否則很可能會造成大量損失。
02
假APP騙局
案例1：小倪換了新手機(jī)，看到某個(gè)微信群有顯示為imtoken工作人員的用戶發(fā)布了一張快訊圖片，還附有APP下載鏈接，正好新手機(jī)還沒有下載imtoken，隨即掃碼下載其APP，輸入私鑰并導(dǎo)入錢包，但很快發(fā)現(xiàn)其地址的所有資產(chǎn)被轉(zhuǎn)出，損失近2萬元。
案例2：據(jù)《華盛頓郵報(bào)》報(bào)道，本月初有兩名用戶在蘋果應(yīng)用商店搜索加密硬件錢包Treznor的名字時(shí)，出現(xiàn)了一款A(yù)PP使用了與真Treznor極其相似的標(biāo)志和顏色，盡管當(dāng)時(shí)Treznor并未推出手機(jī)端APP，但他們誤以為Treznor的確推出了手機(jī)版，故而下載并導(dǎo)入私鑰，最終分別失竊17.1枚比特幣和價(jià)值1.4萬美元的ETH。
分析：私鑰與助記詞意味著對錢包資產(chǎn)的絕對控制權(quán)，因此很多騙局都在設(shè)法套取用戶私鑰，假冒官方APP則是其中最常見的手法，這種假APP或偽造為官方快訊誘導(dǎo)用戶下載，或?yàn)樗阉饕娓顿M(fèi)將假冒網(wǎng)站排名置前，或在蘋果/安卓官方應(yīng)用商店上線重名的假APP，它們會高度模仿官方網(wǎng)站與圖片信息，一旦用戶下載APP并導(dǎo)入助記詞，錢包資產(chǎn)立即會被轉(zhuǎn)走。
因此，大家在下載錢包、交易所類APP時(shí)，切記要從官方渠道下載，并檢查網(wǎng)站域名等信息是否正確。
03
假客服騙局
案例：小詹在使用某DApp產(chǎn)品時(shí)遇到了問題，于是到電報(bào)群嘗試詢問官方人員，隨后有名用戶私聊他詢問情況，并告訴他可以私聊一名官方人員解決問題并發(fā)送賬戶名給小詹，于是小詹直接點(diǎn)擊賬戶名進(jìn)入私聊界面，這名官方人員很熱情地詢問小詹遇到了什么情況，表示這是由于項(xiàng)目數(shù)據(jù)庫問題并正在解決，但為了避免錯(cuò)誤繼續(xù)發(fā)生，需要對賬戶進(jìn)行重置并詢問小詹使用什么錢包，隨后給出鏈接并讓小詹輸入助記詞導(dǎo)入錢包以便進(jìn)一步操作，但小詹此刻出于警惕性未進(jìn)行下一步操作，避免了助記詞泄露。
分析：如今微信、電報(bào)等各大社群幾乎都存在偽裝為官方客服的賬戶，通過各種方式騙取用戶信任，盡可能將話題引向錢包并誘導(dǎo)用戶輸入助記詞或者私鑰，而一旦用戶輸入，所有資產(chǎn)很快會被轉(zhuǎn)走。
因此，大家在各類社群尋求幫助時(shí)，務(wù)必要確認(rèn)對方身份，不確定身份時(shí)可以截圖發(fā)在群里請其他活躍用戶幫忙辨認(rèn)，通常官方工作人員都會不主動私聊用戶并讓用戶輸入私鑰，而是在群聊中讓用戶主動私聊。
04
空投騙局
案例：小曦在微信群看到有人發(fā)布某知名項(xiàng)目空投信息，只要在在電報(bào)群完成幾個(gè)特定社交媒體任務(wù)，即可獲得上百美元的代幣獎(jiǎng)勵(lì)，小曦按照電報(bào)機(jī)器人的提示全部完成，但之后機(jī)器人提示需要先發(fā)送少量代幣到合約地址才能領(lǐng)取空投代幣，考慮到成本不高，小曦按照要求打幣但之后并沒有收到空投代幣，反而白白損失十余美元。
分析：基于社交媒體任務(wù)的的代幣空投的確大量存在，因而容易降低用戶的警惕性，但也正是如此，很多騙子都會利用用戶的松懈心理實(shí)施騙局，利用空投來誘導(dǎo)用戶向智能合約打幣，盡管單筆金額通常不大，但聚少成多仍然相當(dāng)可觀。
目前，還沒有任何真實(shí)空投活動需要用戶向外部錢包地址打幣才能領(lǐng)取，大家對于需要轉(zhuǎn)幣的空投活動應(yīng)當(dāng)直接無視。
05
幾點(diǎn)注意事項(xiàng)
除了前述故意實(shí)施的騙局需要防范，鏈上操作仍然還面臨許多由潛在的操作失誤造成的安全風(fēng)險(xiǎn)，主要有以下幾點(diǎn)：
第一，避免向DApp過度授權(quán)，定期清理授權(quán)。用戶在與某個(gè)DApp首次交互時(shí)需要進(jìn)行授權(quán)，但其中會存在隱患，如果該DApp此后遭遇攻擊，將可以直接利用其權(quán)限盜取用戶資產(chǎn)，因此大家需要定期清理不常用的DApp權(quán)限或者設(shè)置代幣轉(zhuǎn)移量上限。
第二，盡可能避免使用未經(jīng)安全公司審計(jì)代碼的DApp，特別是還聲稱具有高APY的DApp，其安全風(fēng)險(xiǎn)可能會導(dǎo)致本金的巨大損失。
第三，需要再次強(qiáng)調(diào)，注意保存地址私鑰與助記詞，最好保存在不聯(lián)網(wǎng)的硬件或者筆記本上，不向任何第三方透露私鑰與助記詞，這是所有安全措施中最重要的一點(diǎn)。
區(qū)塊鏈技術(shù)所衍生的巨大想象空間，以及更大規(guī)模的應(yīng)用，都依賴于更多用戶擁有更高的鏈上操作素養(yǎng)與知識，而不至于使鏈上成為騙局橫生的法外之地，讓大量用戶無端遭遇巨大損失，因此前述科普與教育的意義也就格外凸顯。
值得看看：
三大所美國市場遇挫幕后：合規(guī)、創(chuàng)新與營收的沖突
這是「鏈捕手」的第376期文章，
歡迎轉(zhuǎn)發(fā)朋友圈，轉(zhuǎn)載請務(wù)必聯(lián)系后臺，感謝閱讀。