Crypto的世界如同黑暗森林，你的身边可能潜藏着无数危机。近日，就有黑客趁着OpenSea合约升级之时，给所有用户的邮箱发送了一封钓鱼邮件，而不少用户错把其当作官方邮件而将自己的钱包授权，进而导致钱包被盗。据统计，这一封邮件至少导致3个BAYC、37个Azuki、25个NFTWorlds等NFT被盗，按照地板价计算，黑客收入便已高达416万美元。
而就在同天夜晚，「AllinNFT」的同济大学生Niq长期持有的1/1Doodle也被盗，原因是对方找Niq私下磋商交易，在让Niq放松警惕后发给了他一个假的交易网站链接。
如今，我们需要防范的黑客攻击不仅仅存在于技术层面，还来自社会工程学，再加上众多NFT项目的价格水涨船高，稍不留神便会损失巨额资产。鉴于最近NFT领域频发，律动总结了几类常见的手段，希望广大读者时刻提高警惕，不要上当受。
手段
V神：“元宇宙”会发生，但不认为现有公司打造的元宇宙有前景:7月31日消息，V神在其社交平台讨论元宇宙话题时表示，“元宇宙”会发生，但他不认为现有公司刻意打造的元宇宙有前景。[2022/7/31 2:49:22]
1、通过Discord私信网站链接
Discord私信链接是是黑客常用的行手段，黑客往往会通过Discord不同的社区批量私信成员，或是冒充社区管理员以帮忙解决问题为由私信用户，取钱包私钥。或者发送虚假的钓鱼网站，告诉用户可以免费领取NFT等等。用户一旦授权给黑客仿造的虚假网站，那么将会给用户带来巨大的亏损。
2、攻击Discord服务器
Discord服务器被黑客攻击几乎是每一个火爆的NFT项目都会经历的事情，黑客会攻击服务器管理员的账号，之后在服务器的各个频道发布假公告，社区成员去黑客早就搭建好的假网站购买假的NFT。而如今的黑客会通过发送网站等方式取服务器管理员的token，这样即使管理员开启2FA双重认证也无济于事。而如果黑客搭建的网站会要求用户钱包的授权，则会给用户带来更加严重的财产损失。
野村证券进军“元宇宙” 进一步推进数字化服务:金色财经消息，据该公司负责数字项目和零售市场的高级董事总经理Kaoru Numata近日表示，野村公司正考虑利用其作为投资银行的优势，帮助一些涉及虚拟领域的企业筹集资金，并就如何应对监管措施提供建议。
Numata补充道，野村公司目前仍在制定其在虚拟现实(VR)市场扩展计划的细节。Numata称，野村可能通过数字资产(如一些不可替代的代币)来创建证券以获得利润。“元宇宙中创造的任何价值都会与现实世界的经济活动相融合，你将需要金融服务。”（财联社）[2022/5/19 3:28:26]
3、发送虚假交易链接
这类术常见于子与用户私下磋商的NFT交易过程。Sudoswap、NFTtrader等交易平台鼓励用户通过私下磋商的方式「交换」彼此的NFT或token，而这些平台也为私下磋商成的交易提供了安全保障，这对于NFT市场来说本是一件好事，但如今有黑客开始通过仿造的Sudoswap、NFTtrader网站进行。
上海政协常委：上海应当把握“元宇宙”风口，引进和培育元宇宙新基建头部企业:1月19日消息，据上海市政协常委、无党派人士界别副召集人、国务院参事室公共政策研究中心研究员游闽键表示，上海应当把握“元宇宙”风口，引进和培育元宇宙新基建头部企业，大力扶持元宇宙软硬件产业的发展。
他建议，可由市经信委牵头，依托元宇宙相关头部企业，一流科研院校，成立上海市元宇宙跨界创新联盟，加强政企、校企协作，发挥联盟成员技术、市场优势，聚合一张“产业生态网”“能量传导网”，在此基础上探索建立上海标准的元宇宙规则体系。（鞭牛士）[2022/1/19 8:59:45]
Sudoswap、NFTtrader在磋商完成后需要用户发起一笔交易，这一步骤会生成一个订单确认网站，双方确认后交易会通过智能合约自动进行。子在一开始会假装与你商议交换哪些NFT，并先为你展示一个真的网站链接，随后提出对交易进行修改，在交易者放松警惕后，子会发送一个链接，用户点击确认交易后，钱包中对应的NFT便会被发送至子的钱包中。
“元宇宙藏品馆”宣布获千万级天使轮融资:1月16日，优旅区块链技术（宁波）有限公司（以下简称元宇宙藏品馆）宣布获千万级天使轮融资，该轮融资由福建威鹏实业有限公司独家投资。
元宇宙藏品馆联手知名央企设计实体建筑群，包含博物馆、数字化VR体验中心、智能酒店、游乐场等设施，通过线上线下联动，打造元宇宙藏品馆文化数字实体产业。藏品馆诞生于元宇宙概念火爆的2020年下半年，致力成为数字藏品沉浸社交平台，是一个集发行、展示、收益、分享于一体的新型开放平台。
据悉，1月21日，由元宇宙藏品馆发行的城市系列NFT北京站首发，平台还将通过限定空投的玩法回馈首批用户。北京地标古建筑故宫、颐和园、长城等都将以数字艺术品的形式呈现他们的别样艺术美感。（北京青年报）[2022/1/16 8:53:04]
4、取助记词
子会通过各种手段诱导用户将私钥或助记词发送给自己，比如搭建网站、假装自己是来帮助用户的管理员等，种种行为均是为了降低用户的警惕，伺机走私钥和助记词。
经济日报：原始版“元宇宙”的技术基础已经具备，但离理想“元宇宙”还相距甚远:9月12日消息，经济日报刊文称《“元宇宙”究竟是不是新科技》，2021年的互联网投资圈里，“元宇宙”堪称“最靓的崽”，相关概念股倍受资金追捧，百度、腾讯、字节跳动等互联网巨头纷纷加入“元宇宙”赛道，虚拟现实、网络游戏、云计算、超高清视频、数字孪生等多个产业链从中受益。这些“刚需”技术，有的进步很快，有的仅见雏形，目前构造一个初级、原始版“元宇宙”的技术基础已经具备，但离构建一个令人沉浸其中的理想“元宇宙”还相距甚远。“元宇宙”何时才能脱离像素游戏的初级阶段，实现真正的平行虚拟世界？这有待于相关技术进步，可能需要10年、20年，甚至更久。对于老百姓来说，可以对技术进步带来的“元宇宙”新世界保持美好期待，但一定要谨慎投资。故事越动听、概念越宏大，就越要捂好自己的钱袋子。毕竟，通过讲故事、炒概念来割韭菜，已经是屡见不鲜的老套路了。[2021/9/12 23:18:36]
5、创建假的Collection，在项目的Discord公开频道寻求交易
虚假NFT合集是在很多热门项目发售前最容易遇到的。当NFT盲盒正式上线前，子会提前在OpenSea等NFT交易平台上传名称类似的NFT合集，并且提前通过官方释放出的信息精美的「装修」好这个合集。真正的NFT合集在没上线的情况下，用户优先会搜索到名字最为接近的合集。有些子为了让用户相信还会制造几笔交易，给当前挂单的假冒NFT发送Offer出价。
为了节省平台和项目方的版税抽成，社区成员之间会进行私下交易，除了上文所谈到的通过仿造Sudoswap、NFTtrader网站之外，也有子通过在社区频道发送略低于地板价的假NFT合集链接。用户往往会在急于抢购低于地板价NFT时忽略了NFT的真实性从而受。
6、假邮件
大部分的NFT平台都会要求用户绑定邮箱，以方便用户能够第一时间知道自己NFT的交易情况，因此邮箱也成为了泛滥的聚集地。子通常会伪装成OpenSea平台的官方账号，以合约地址需要修改或钱包需要重新验证等方式向用户发送钓鱼网站链接。近日OpenSea在公布合约升级之后，黑客便是以这种方式取用户财产近400万美元。截止撰稿日期，OpenSea团队仍然在排查受损用户。
防指南
1、网址甄别
无论黑客采用何种天花乱坠的包装，和如何令你意乱神迷的语言描述，在最终他盗走你的加密资产之时，始终需要一个和你的钱包发生交互的途径。普通用户或许不具备辨别合约风险的能力，但幸运的是，我们至今仍处在一个web2所主导的互联网世界。几乎所有的加密合约都需要借助一个web2的前端网页来和用户交互。
因此，几乎绝大多数面向用户的加密资产盗窃都是发生在仿冒的钓鱼网站之上。而一旦了解了如何鉴别钓鱼网站，将足以帮你避开99%的加密资产盗窃。
对于伴随着智能手机成长起来的Z世代来说，他们生活在一个又一个App营造的「生态」之中，对于web网页这个陈旧的事物或许已经疏于了解了。在web2时代，DNS域名系统为每一个网站赋予了全网唯一的身份标识，了解域名构成的基本规则，将足以应对几乎全部的虚假钓鱼网站。
在传统的DNS域名中，域名层级分为三级。从第一个分隔符开始从右至左阅读，每个句号分隔开一个层级。以https://www.opensea.io/为例「.io」和「.com」、「.cn」等类似，被称为顶级域名，该字段不可自定义。「opensea」被称为二级域名，也即域名的主体，同一顶级域名下该字段不可重复。「www」部分则为三级域名，该字段网站运营者可自行设置。甚至运营者还可在「www」之前继续添加四级域名、五级域名。
域名的层级顺序是反直觉的：即从右至左层级逐渐降低。这一设计与大多数人的阅读习惯恰恰相反，也让攻击者有了可乘之机。举例来说，https://www.opensea.io.example.com该地址虽然和opensea地址高度相似，但其实际域名却为「example.com」而非「opensea.io」。
Web3是否还有钓鱼攻击我们尚且难以预测。但在Web2的世界里，DNS域名系统确保了域名的唯一性，在域名为真的情况下，用户几乎不可能打开虚假网站。
2、不要泄露私钥或助记词
Crypto钱包不像Web2的电子邮件等账户，私钥与助记词无法修改、找回，一旦泄露就意味着这个钱包将同时归属于你与黑客，你钱包内所有的资产都可以随时被黑客转移，而由于以太坊地址的匿名性，你也无法查明黑客到底是谁，损失自然也无法追回，这个钱包也不能再继续使用。
3、及时取消钱包授权
如果你已经在网站授权钱包，可以及时前往以下三个地址检查钱包授权情况并及时取消：
https://etherscan.io/tokenapprovalchecker
https://revoke.cash/
https://debank.com/
作者：NFTLabs，律动研究院
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。