前言
北京时间2022年6月5日，知道创宇区块链安全实验室监测到著名NFT项目的Discord社群再次遭受了网络钓鱼攻击，造成约200枚以太币的损失。在此之前，著名歌手周杰伦在愚人节当天就曾遭受网络钓鱼攻击，导致其库存中的无聊猿NFT被黑客转移。
近年来，我们发现在web3世界中网络钓鱼事件频发，导致项目方以及广大用户损失惨重，那么今天我们就来聊聊什么是网络钓鱼，以及该如何去防范。
什么是网络钓鱼
网络钓鱼是指黑客通过各种社交手段获取受害人的信任使其访问黑客伪造的与官方网站十分相似的钓鱼网站，或操控当钓鱼攻击成功后将受害人造成不可挽回的损失，轻则个人信息泄露、账号被盗，重则导致巨大的经济损失。
头号藏品推出无聊猿#5513 NFT 二创项目 BATC 系列数字藏品:8月1日消息，头号藏品近日推出无聊猿系列数字藏品BATC。BATC作为基于编号#5513无聊猿版权的二创项目，以 BAYC“无聊”的调性为基础，对无聊猿的头像进行了延展，打造了全身的形象。在设计上做了更多变化，加入了更多符合国人审美的中国风元素，每一只猴子均是由11个部位，超过400种不同的部件，通过编程的方式随机生成，共9999份。已与7月31日下午15点，开启领取通道。
另外，从8月3日起，BATC系列广告将登陆包括北京、上海、深圳、成都、重庆在内的5个重点城市。[2022/8/1 2:50:53]
网络钓鱼本质上是一种社会工程学，越来越多的黑客使用网络钓鱼攻击是因为相较于侵入组织的计算机网络来说，人更加容易且成本更低。
三箭资本持有价值730万美元的NFT收藏，包括无聊猿、CryptoPunks等:金色财经报道，三箭资本据称持有价值 730 万美元的 NFT 收藏。根据NFTGators公布的数据，以下 NFT 归三箭资本所有，价值约 736 万美元。
1 Bored Ape Yacht Club，价值 6.1 万美元
2 Mutant Ape Yacht Club，价值约 12.26 万美元
11 Crypto Punks NFTs ，价值 300 万美元
330 Art Blocks Curated NFTs ，总价值 248.3 万美元
8 PEGZ NFTs ，价值 61.3 万美元
4 DeafbeefV2 ，价值 56.4 万美元
3 Autoglyphs ，价值 30.4 万美元
7 Art Blocks NFTs，价值 12.5 万美元
7 Chromie Squiggle NFTs，价值 73.78 万美元
根据彭博社最近的一份报告，三箭资本的创始人苏朱据称正试图出售他在新加坡价值 3500 万美元的豪宅。该豪宅于2021年12月由苏朱以4880万美元的价格购买。这所房子目前由他的一个孩子名下的信托基金管理。[2022/7/5 1:50:53]
同时其往往是利用人性的弱点，通过透露一些与受害人切身利益相关的信息，抓住受害者慌不择路，病急乱投医的心理，从而扰乱受害者的思考，达到钓鱼攻击的目的。
“无聊猿”BAYC与滚石杂志合作开发联名NFT以40,101枚APE成交:金色财经报道，据 OpenSea 最新信息显示，“无聊猿”BAYC NFT项目宣布与流行音乐杂志《滚石》合作开发两个联名 NFT（1 个 BAYC 和 1 个 MAYC）拍卖活动中，Rolling Stone x Bored Ape Yacht Club 2022 Collab 以 40,101 枚 APE（约合 182,459.55 美元）的价格被“SaintBayview”拍得。Rolling Stone x Mutant Ape Yacht Club 2022 Collab 目前仍在竞标，本文撰写时最高出价为 19,696.969 枚APE，约合 86,666.66 美元。[2022/6/26 1:31:30]
网络钓鱼的攻击方式
新加坡高等法院冻结“无聊猿”BAYC#2162出售和转让:金色财经报道，新加坡高等法院已代表一名当地投资者发出专有禁令，旨在冻结“无聊猿”BAYC #2162 NFT出售和所有权转让，该禁令已在 5 月 13 日发出，预计将在相关案件审理后生效。根据流出的庭审名录显示，被告化名可能 chefpierre.eth，原告可能名为 Janesh Rajkumar，原告表示自己只是将BAYC #2162抵押给原告来获得贷款，但自己才是该 NFT 的合法所有者。根据代表 Janesh Rajkumar 的律师事务所 Withers KhattarWong 在 5 月 18 日新闻稿中称，新加坡高等法院发出的这份禁令表示已承认 NFT 是一种资产。（businesstimes）[2022/5/18 3:26:02]
网络钓鱼攻击的本质就是，本文总结了以下几种区块链中常见的网络钓鱼攻击手法。
克隆攻击
攻击者通过克隆创建项目方官网，克隆网站具有官网类似的名称域名和前端页面，让用户极难辨别真伪。并在网络中大肆进行项目广告宣传活动，诱用户访问其克隆地址并进行账户登录，以此来偷取受害者的登录凭证，私钥等，从而转移账户中的资产。
社交网络钓鱼
随着各类社交软件的流行，社交网络钓鱼攻击也变得十分普遍。在Twitter、Facebook、Discord、Telegram等项目方常用社交软件上这类攻击极为常见。黑客通过入侵知名人物的帐户并利用他们的账户发布包含网络钓鱼链接的帖子，或者创建克隆知名人物、社区等账户的首页发布空投、预售等钓鱼帖子，这些克隆账户的名称与项目方账户十分相似，足以以假乱真。
虚假的区块链应用
伴随着区块链网络的发展，各式各样的区块链应用也应运而生，钱包应用是我们最为常见的应用，攻击者往往会在网络中投放存在后台程序的恶意区块链应用，这类应用一旦用户下载安装并在应用中登录自己的账户，后台程序便会记录账户私钥和密码并发送给攻击者。
如何防范网络钓鱼
网络钓鱼攻击如此猖狂，我们该如何去防范呢？网络钓鱼攻击的核心就是，首先基于用户层面，作为一名普通的互联网使用者，我们应学习如何辨别钓鱼攻击，作为项目方，应该积极提示用户谨防网络钓鱼攻击。
警惕不明来信
警惕莫名发来的信息，这些信息看起来是发自于官方帐户，并在信息中提示你，你的账户存在一些问题，并催促你点击提供的链接来验证你的登录信息。又或是宣称你中奖了，需要在信息中提供的网站上进行登录验证等。
谨慎点击链接
通常我们会在收到钓鱼信息中会存在一个网络钓鱼链接，这种链接一般是生成的短链接或是仿冒的官网链接，看起来与官网链接十分相似，我们只需细心与官网链接比较就会发现端倪。
细心核对交易信息
警惕与资产相关的操作。网络钓鱼攻击的最终目的就是获取资产，钓鱼信息中会营造一种恐慌的情绪，宣称受害者资产将会受损，需要立即转移，会请求受害者转移资产到安全账户或是对交易请求进行授权操作。
保护敏感信息
警惕账户密码、助记词、私钥请求。钓鱼攻击会在无意中要求受害者在钓鱼网站中提供账户密码、私钥等敏感信息，受害者在看似与官网相似的网站中往往会被迷惑。
除了通过提高防范意识来进行网络钓鱼攻击防范，我们还可以通过使用一些工具对钓鱼地址进行识别拦截，以此更好的保护用户的利益。比如FishAlert插件，该插件自带网址安全检测，能够对存在安全问题的地址、网络钓鱼地址进行识别拦截，提示用户正在访问风险域名，不给网络钓鱼攻击可乘之机。
当我们访问钓鱼链接时，FishAlert自动弹出风险提示窗口：
当我们访问未知链接时，我们可主动打开该插件对网站进行检测：
安全建议
据统计，2021年区块链网络中因网络钓鱼攻击而导致的资产损失已超64亿美元，保护用户的资产不受损失是每个项目方乃至web3世界中每个成员共同的责任，除了使用防御网络钓鱼攻击的工具，我们每个人都应该提高防范意识，共同抵抗网络钓鱼攻击。在此知道创宇区块链安全实验室给出以下安全建议：
警惕资产转移、交易授权信息。
输入密码、私钥时观察网络环境，仔细确认官网地址。
避免从第三方下载区块链应用，选择从官网或官方应用商城下载
警惕陌生人的信息，请勿点击可疑电子邮件中的链接或下载附件。
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。