在众多欺诈类别中，钓鱼攻击是欺诈者们最常使用的方式之一。然而，在Web3.0领域，不止有着钓鱼攻击，还有一种会对社区产生重大威胁的「IcePhishing」攻击。2022年早些时候，微软首次于blog中阐述了该类攻击的具体形式——子无需取用户的私钥以及助记词，而是直接诱使用户批准将资产转移到子钱包的操作。截至目前，IcePhishing已经造成了Web3.0领域数百万美元的资产损失。什么是IcePhishing？
IcePhishing是一种Web3.0世界独有的攻击类型，用户被诱签署权限，允许欺诈者直接消费用户账户内的资产。这与传统的网络钓鱼攻击不同，后者作为一种社会工程攻击手段，通常用于窃取用户数据，包括登录凭证和钱包或资产信息，如私人钥匙或密码。IcePhishing相较于此，对Web3.0用户具备更大的威胁——与DeFi协议的互动需要用户授予权限，欺诈者只需要让用户相信他们所批准的恶意地址是合法的。一旦用户批准欺诈者花费其资产，那么账户就有可能被盗。链上IcePhishing
芝商所将以太坊和比特币标准以及微型合约的到期日增加到每日:金色财经报道，芝商所(CME Group)宣布将以太坊和比特币标准以及微型合约的到期日增加到每日。芝商所加密货币产品全球负责人Giovanni Vicioso表示，我们很高兴提供这些新的期权合约，为市场参与者在管理短期比特币和以太币价格风险方面提供更高的准确性和多功能性。
金色财经此前报道，芝商所(CME Group)宣布计划从5月22日开始，在标准和微型比特币和以太坊合约中扩展其加密货币期权合约，目前等待监管审查。其中，比特币和以太坊期货期权的新到期日将提供星期一、星期二、星期三、星期四和星期五的到期日。微型比特币和以太坊期货期权将在现有的周一、周三和周五合约上增加周二和周四的到期日。[2023/5/28 9:46:51]
IcePhishing攻击的第一阶段往往是：受害者被，批准EOA或恶意合约来花费受害者钱包中的资产。下图中的交易可作为示例：
美联储理事鲍曼：零售CBDC的风险大于收益:金色财经报道，近日，美联储理事鲍曼发表了关于CBDC的演讲，鲍曼总体上支持批发数字美元。但鲍曼认为，零售CBDC的利益和意外后果之间的权衡，使其很难证明在银行间使用之外进行直接访问。在演讲中，鲍曼还讨论了CBDC可以解决什么问题，以及在设计和采用时应该考虑哪些特征。[2023/4/19 14:13:33]
来源：Etherescan下一阶段则是钓鱼地址发起TransferFrom交易，该交易将资产从受害者转移到欺诈者选择的地址。在下图的例子中，USDT被转移到0x9ca3b...
来源：Etherescan我们可以看到，欺诈者启动了受害者和接收者之间的交易。这里需要强调的是，收款人地址不一定是对你进行的钱包，而是发起交易的钱包。欺诈者往往将用户的资金发送到他们控制的第二个EOA。从下图的交易流程中可以看出：
欧易OKX发布第三次储备金证明报告，储备金总价值增长16.64%达75亿美元:据欧易OKX公告显示，欧易OKX已于2023年1月18日正式发布第三次储备金证明（PoR）报告，储备金总价值较上月的64.3亿美元提升至75亿美元，增长了16.64%，呈持续净流入状态。据欧易OKX官网最新数据显示，BTC、ETH、USDT储备金率均超过100%，分别为105%、105%、101%。其中用户BTC资产沉淀增长4.9%，增加5490枚BTC；用户ETH资产沉淀增长8.1%，增加87986枚ETH；用户USDT资产沉淀基本持平，本月实际用户资产沉淀增长约2.5亿美金。
此外，据CryptoQuant此前公布的储备金干净度排名显示，欧易OKX储备金洁净度为100%，位列加密交易平台第一。值得注意是，欧易OKX本次的PoR还新增了显示审核快照数据的新功能，可以帮助用户更好地了解总资产价值的核算过程。欧易OKX是目前唯一一家同时实现默克尔树开源验证、钱包地址所有权开源验证、链上资产开源验证的交易所。欧易承诺将定期发布PoR报告，持续引领行业提升透明度。[2023/1/19 11:21:17]
“区块链即服务”初创公司Vaionex完成123万美元融资，Ayre Ventures领投:6月18日消息，“区块链即服务（BaaS）”初创公司Vaionex宣布完成123万美元融资，本轮融资由Ayre Ventures领投。Vaionex联合创始人兼首席执行官Robin Kohze表示，该公司专注于核心基础设施、链上数据库存储和管理、智能合约、以及NFT等领域建设，旨在消除企业部署应用区块链技术的障碍。（coingeek）[2022/6/18 4:37:01]
来源：CertiK如果你在钱包里看到可疑的交易，就需要检查一下发起的EOA是否被授予了花费你资产的权限。你可以在Etherscan或Debank等扫描系统上自行检查。
来源：Etherescan如果你看到一个你不认识的地址，或者一个未经你批准就启动交易的地址，那么请立即撤销权限。如何通过扫描网站撤销权限？1.访问https://etherscan.io/tokenapprovalchecker并搜索钱包2.连接钱包3.点击ERC-20、ERC-721或ERC-1155标签，找到你想撤销的地址。4.点击撤销按钮如何辨认IcePhishing？
STEPN回应部分用户被识别为Bot：服务器遭遇DDOS:金色财经报道，针对近日APP版本更新后部分真实用户被识别为Bot一事，STEPEN官方发表回应表示，在极短时间内，服务器遭受了超过2500万的DDOS 和庞大的数据量而使得网络堵塞，AI收不到用户的数据而默认用户为Bot。目前已经恢复了网络并加强了服务器，数据传输已经重新开放并保持稳定。同时改进了规则，对于网络堵塞而造成的用户数据延时制定了处理识别方案。用户不需要担心再次被识别为Bot。[2022/6/5 4:02:37]
用户判定自己是否落入IcePhishing陷阱的第一个辨认信号就是查看他们正在使用的URL或DApp。恶意网站会山寨合法项目的页面，或者假冒合法机构的合作方。比如我们经常会看到一些网站挂着与CertiK的合作关系或是上传山寨的CertiK审计报告。下方是众多假冒矿池事件的其中一例，它违法使用了CertiK的logo与其它正规机构的相关标志。
来源：CertiK调查团队如果在这个网站上签署批准，就会允许一个恶意的EOA从你的钱包中无限制花费USDT——这基本上意味着你拥有的所有USDT都处于风险之中。
来源：MetaMask通过登录certik.com来查验，你会发现本例中的上述网站并非CertiK的合作伙伴。如果你有相关需求，可以通过点击CertiK官网上的“ReportanIncident”与CertiK的事件响应团队联系。
用户可以在certik.com上提交恶意合约的报告一些链上检查是用户可以通过自己DYOR来进行的，比如将的DApp或URL上呈现的地址通过扫描网站来查看其是否有可疑活动。在下方的例子中，我们在EOA0x13a...5dE49上检测到疑似IcePhishing的活动，并发现它是由Tornado.Cash提款资助的。
来源：Etherescan在进一步调查后，我们发现0x13a…5dE49将Pulse社区作为目标，其主要社区成员已警告了用户IcePhishing的危险性。
来源：推特通过调查一些受害者的钱包和社交媒体上的投诉发文，我们发现了一个假的MaximusDAO推特页面，这很可能与IcePhishing钱包有关。如何保护自己？
防止自己成为IcePhishing受害者的最简单方法就是访问可信的网站以验证信息真实性，如Coinmarketcap.com、coingecko.com和certik.com。许多IcePhishing的局可以在社交媒体上找到，比如一些欺诈项目会伪造成合法项目并宣传空投之类的虚假活动。在下图示例中，我们可以看到一个假的Optimism推特账户在宣传一个钓鱼网站。
来源：@CertiKAlert请花点时间来验证你正在互动的URL或DApp是否合法。如果不确定，可以通过访问可信的来源进行双重检查。写在最后
钓鱼网站是我们在Web3.0领域看到最常见的类型之一，用户有时甚至无法意识到他们已经落入陷阱，因为他们没有给出任何敏感信息。因此除了你靠自己进行一番链上检查以外，也需要花费更多的时间来仔细检查互动的URL是否经过可信来源的验证——这些花费的时间总有一天给你回报。
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。