前言
小A最近收到了交易所活动的短信，于是小A在浏览器输入“xx钱包官方”，点进排在首位的链接，下载App-创建钱包-转入资产，一气呵成。没一会，小A收到了转账成功的通知，他钱包App里的余额——价值1000万美元的ERC20-USDT——都化为零了。小A后来才意识到，这个App是假的，自己下载到钓鱼App了。
慢雾于去年11月24日发布了关于假钱包黑产的分析报告——慢雾：假钱包App已致上万人被盗，损失高达十三亿美元，可想而知，随着时间流逝，直到今天的被盗损失会是多么令人惊讶。
分析
今天我们从大数据侧分析，到底有多少假钱包。
微博财经对若干区块链及币圈微博账号禁言及注销:1月15日，微博财经官方发文称表示，为了落实企业主体责任，严格贯彻执行金融、证券相关法律法规及《微博社区公约》管理规定，站方主动排查及接用户投诉，对通过微博博文、私信等渠道导流至站外平台的违规营销信息进行集中处理。这类信息后端往往诱导交费，购买非法理财产品，涉嫌。根据相关规定，微博将对若干账号采取删除内容、禁言1周或注销处理。内容显示，这批账号包含一些区块链及币圈微博账号。[2021/1/15 16:16:35]
1、MetaMask是目前全球最大的浏览器插件钱包。2021年4月，MetaMask母公司?ConsenSys?表示，MetaMask钱包的月活用户量超过500万，在6个月内增长了5倍，而2020年MetaMask官方也曾宣布其较2019年的月活同比增长了4倍，用户量超8000万。
掌柜调查署｜币圈李白：Filecoin给整个区块链的生态带来了一种跨时代的改变:在今日举行的掌柜调查署中，针对“当前市场对Filecoin的期待是否过高？Filecoin究竟是陷阱，还是机遇？“的问题，石榴矿池核心开发者币圈李白表示，我个人比较看好Filecoin的前景，大家都知道从最初的比特币开始，区块链技术就被用来进行记账。记账这件事情被很好地传承了下来，发展到今天就是各种各样的数字货币。然后以太坊又把区块链带到了去中心化应用的时代，就有各种各样的DAPP，有DeFi，有各种各样的游戏，都可以在区块链上实现。Filecoin给整个区块链的生态带来了很多不同，我认为这是一种跨时代的改变。它使用区块链来做去中心化的存储是一个崭新的应用场景，会给区块链未来真正的落地带来更广阔的一个空间。
从投资角度来讲，我觉得大家还是要看一下Filecoin / IPFS技术的趋势。当年去中心化记账带来了比特币；后来用区块链来做应用，带火了以太坊。这时候我们发现区块链还可以用来做去中心化存储，那这个存储未来会给我们带来什么呢？它会给整个区块链领域带来什么不同呢？我觉得这种趋势如果大家能看到，那我觉得就应该投资它。
至于这个项目的风险和优势，我觉得都是过于早期。这个技术才刚刚从设计中实现，甚至现在还没有完全实现。系统内还有一些漏洞，整个技术还处在非常早期。这样的技术将来能不能真正的去落地，我觉得这就是项目最大的风险。而也正因为现在是这个项目非常早期的一个阶段，前期在知道的人还没有那么多的情况下入场，等这个项目真的被推向大众了，自然会体现它的价值。所以早期既是风险也是优势。[2020/7/15]
MetaMask如此海量的用户数自然是黑产的第一目标，我们来看看有多少冒牌MetaMask：
声音 | 知情人士：利用币圈积累完成ASIC芯片领域突破已成为比特大陆管理层共识:多位接近比特大陆人士称，吴忌寒的目标，或者说梦想，是成为下一个英伟达，这要求整个公司弯道超车。据悉，本次集资所得将部份用于高科技AI芯片及AI应用的研发及扩大生产。接近比特大陆核心人士称，利用先前币圈的积累，完成ASIC芯片的新领域商业探索，逐个突破，已经成为管理层的共识。目前，比特大陆已经开始在安防与云计算领域开拓相关服务器业务。[2018/9/27]
首先，通过专业的浏览器搜索：
查找结果显示有20,000?的相关结果，其中98%的IP/域名都是虚假链接。
花39个比特币祝福新婚前任系炒作，“金主”或是币圈人士:据广东美至简网络科技有限公司负责营销的工作人员表示，今日刷屏的砸39枚比特币买头条的“梁诗雅事件”是他们策划的事件营销，“后续还会有新内容爆出”，至于金主是谁，这位工作人员不愿透露，但据文章内容推测，或是来自币圈内人士所为。[2018/3/21]
进一步追踪，比如查找MetaMaskDownload：
一眼看去，都是钓鱼网站，而且熟悉安全的人应该都知道，888/HTTP、8888/HTTP这类端口和服务是宝塔系统的默认配置，而宝塔的简单易部署属性导致大量黑灰产使用。以上相关的IP/域名都是诱导用户访问、下载的虚假链接。
我们再进一步来看点有意思的。
首先搜索：MetaMask授权管理
这些全都是黑产管理后台相关域名，我们顺手把域名也一起梭，部分抓到的域名及相关解析时间展示如下：
VuePHP环境，部署方式如下：
2、imToken授权管理也是同样的方式：
TokenPocket授权管理：
钓鱼后台：
后台相关的服务产业链：
3、后台获取到相关的受害人信息后，攻击者通过提币API接口进行操作：
我们来看一下代码：
涉及到基础Web服务的JS、配置JS、转账JS。
再看这条：var_0xodo='jsjiami.com.v6'，不得不说，黑灰产已经超过大多数正规Web站点，人家已经在实施JS全加密技术。
配置：
此处sc0vu/web3.php:"dev-master"是用于与以太坊和区块链生态系统交互的php接口系统。
分析后发现，攻击者获取到私钥等相关信息后，通过api.html调用，转移相关盗窃资产。此处不再赘述。
你以为这样就结束了？
你以为他们的目标只是伪造MetaMask、imToken、TokenPocket等钱包的钓鱼网站？
其实他们除了伪造市面上这些知名钱包外，他们还仿造并搭建了相关交易平台进行钓鱼，我们来看下：
比如这个IP下，我们发现除了钓鱼页面、后台，还有其他信息：
伪造的交易平台钓鱼站，而且还不止一个：
使用Laravel框架搭建的加密货币钓鱼平台：
使用ThinkPHP框架搭建的仿?FTX?平台钓鱼站点：
再来看下SaaS版直接在线售卖的钓鱼模版：
子平台支持大部分主流的钱包
针对加密货币、NFT?的钓鱼产业链已十分完备，专业SaaS服务，快速部署，立马上线。?
进一步侦查发现相关的后台管理系统，如下图是云桌面式的管理后台，用来控制交易平台相关信息：
分类清晰功能齐全，黑灰产的先进与专业度已经远超想象。
总结
本文主要是从技术手段分析了钱包的全景，钱包钓鱼网站层出不穷，制作成本非常低，已经形成流程化专业化的产业链，这些子通常直接使用一些工具去copy比较出名的钱包项目网站，诱用户输入私钥助记词或者是诱导用户去授权。建议大家在尝试下载或输入之前，务必验证正在使用网站的URL。同时，不要点击不明链接，尽量通过官方网页或者官方的媒体平台下载，避免被钓鱼。
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。