洗劫数百万美元,警惕Web3.0独有升级版钓鱼攻击Ice Phishing

在众多欺诈类别中,钓鱼攻击是欺诈者们最常使用的方式之一。

然而,在Web3.0??领域,不止有着钓鱼攻击,还有一种会对社区产生重大威胁的「IcePhishing」攻击。

2022?年早些时候,微软首次于?blog?中阐述了该类攻击的具体形式——子无需取用户的私钥以及助记词,而是直接诱使用户批准将资产转移到子钱包的操作。

截至目前,IcePhishing?已经造成了Web3.0?领域数百万美元的资产损失。

什么是?IcePhishing?

IcePhishing?是一种Web3.0?世界独有的攻击类型,用户被诱签署权限,允许欺诈者直接消费用户账户内的资产。

知情人士:FTX在收购Voyager资产方面处于领先地位:金色财经报道,一位知情人士透露,加密货币交易所FTX在收购Voyager Digital的资产方面处于领先地位,但未来几天仍可能出现更高的报价。本周通过破产法庭对Voyager的资产进行了拍卖。知情人士称,在最后阶段,FTX交易所和数字资产投资公司Wave Financial之间展开了争夺。

该人士补充说,FTX的出价更高。目前还不清楚FTX同意支付多少钱。(CoinDesk)[2022/9/16 7:00:09]

这与传统的网络钓鱼攻击不同,后者作为一种社会工程攻击手段,通常用于窃取用户数据,包括登录凭证和钱包或资产信息,如私人钥匙或密码。

津巴布韦统计局:津巴布韦8月通胀年率为285.0%:8月26日消息,津巴布韦统计局公布的数据显示,津巴布韦8月通胀年率为285.0%,7月为256.9%;通胀月率为12.4%,而7月为25.6%。[2022/8/26 12:50:24]

Ice?Phishing?相较于此,对Web3.0?用户具备更大的威胁——与?DeFi?协议的互动需要用户授予权限,欺诈者只需要让用户相信他们所批准的恶意地址是合法的。一旦用户批准欺诈者花费其资产,那么账户就有可能被盗。

链上?IcePhishing

IcePhishing?攻击的第一阶段往往是:受害者被,批准?EOA?或恶意合约来花费受害者钱包中的资产。

Coinbase将上线Ampleforth (WAMPL) 和Index Cooperative (INDEX):6月9日消息,据Coinbase官方推特,Coinbase将上线Ampleforth (WAMPL) 和Index Cooperative (INDEX) 。需要注意的是,Coinbase仅支持ETH网络(ERC-20代币)上的Ampleforth (WAMPL) 和Index Cooperative (INDEX),用户不要通过其他网络发送此资产,否则资金可能会丢失。

如果满足流动性条件,交易将于北京时间6月10日0:00(PT时间6月9日9:00)或之后开始。如果建立了足够的该资产供应,WAMPL-USD、WAMPL-USDT、INDEX-USD和INDEX-USDT交易对的交易将分阶段开放。[2022/6/9 4:13:06]

下图中的交易可作为示例:

来源:Etherescan

如果你看到一个你不认识的地址,或者一个未经你批准就启动交易的地址,那么请立即撤销权限。

如何通过扫描网站撤销权限?

1.访问?https://etherscan.io/tokenapprovalchecker?并搜索钱包

2.连接钱包

3.点击?ERC-20、ERC-721?或?ERC-1155?标签,找到你想撤销的地址。

4.点击撤销按钮

如何辨认?IcePhishing?

用户判定自己是否落入?IcePhishing?陷阱的第一个辨认信号就是查看他们正在使用的?URL?或?DApp。

恶意网站会山寨合法项目的页面,或者假冒合法机构的合作方。

比如我们经常会看到一些网站挂着与?CertiK?的合作关系或是上传山寨的?CertiK?审计报告。

下方是众多假冒矿池事件的其中一例,它违法使用了?CertiK?的?logo?与其它正规机构的相关标志。

来源:推特

通过调查一些受害者的钱包和社交媒体上的投诉发文,我们发现了一个假的?MaximusDAO?推特页面,这很可能与?IcePhishing?钱包有关。

如何保护自己?

防止自己成为?IcePhishing?受害者的最简单方法就是访问可信的网站以验证信息真实性,如?Coinmarketcap.com、coingecko.com?和?certik.com。

许多?IcePhishing?的局可以在社交媒体上找到,比如一些欺诈项目会伪造成合法项目并宣传空投之类的虚假活动。

在下图示例中,我们可以看到一个假的?Optimism?推特账户在宣传一个钓鱼网站。

来源:@CertiKAlert

请花点时间来验证你正在互动的?URL?或?DApp?是否合法。如果不确定,可以通过访问可信的来源进行双重检查。

写在最后

钓鱼网站是我们在Web3.0?领域看到最常见的类型之一,用户有时甚至无法意识到他们已经落入陷阱,因为他们没有给出任何敏感信息。

因此除了你靠自己进行一番链上检查以外,也需要花费更多的时间来仔细检查互动的?URL?是否经过可信来源的验证——这些花费的时间总有一天给你回报。

郑重声明: 本文版权归原作者所有, 转载文章仅为传播更多信息之目的, 如作者信息标记有误, 请第一时间联系我们修改或删除, 多谢。

银河链

[0:15ms0-1:454ms