NFT:保护你的无聊猿 Web3又一起钓鱼攻击事件发生

2022年6月5日，成都链安链必应-区块链安全态势感知平台舆情监测显示，Bored Ape Yacht Club（无聊猿）的Discord社群遭受黑客钓鱼攻击，黑客获利约142 ETH。成都链安安全团队第一时间对事件进行了分析，结果如下。

#1 事件相关信息

国内外明星如麦当娜、史蒂芬·库里、周杰伦、林俊杰等都曾入手“无聊猿”系列NFT。今年1月，足球明星内马尔宣布以超过100万美元的价格购买了两只“无聊猿”NFT。而近期关于NFT的钓鱼攻击也逐渐增多，比如在“愚人节”当天周杰伦的无聊猿就曾遭遇钓鱼攻击。

Kraken CEO：无法保护加拿大卡车司机抗议活动相关账户免受冻结:2月18日消息，针对加拿大制裁与卡车司机抗议活动相关的34个加密钱包地址一事，当网友在推特上问及美国加密货币交易所Kraken是否会冻结与抗议有关的账户时，Kraken首席执行官Jesse Powell回复称：“是的，它已经或将会发生，我们将被迫遵守。如果你担心这个，就不要把你的资金放在任何中央或监管的托管方那里。我们不能保护你。请取出你的代币/现金，只进行p2p交易。 ”据悉，加拿大卡车司机已持续多日进行及抗议活动，要求政府取消疫苗令及其他新冠限制措施，对此加那大总理宣布启用《紧急状态法》以作应对。此前昨日消息，加拿大制裁与卡车司机抗议活动相关的34个加密钱包地址。[2022/2/18 10:01:33]

在web3世界中，网络钓鱼主要通过twitter、discord、网站伪造等一系列手段实现，通常在过程中伴随着假托、在线聊天、下饵、等价交换、同情心等社会工程学攻击（详见维基百科：社会工程学），让人防不胜防。

支付宝“保护隐私的多方数据处理的方法、装置和系统”等多项隐私保护专利被授权:10月12日消息，据天眼查数据显示，近日支付宝有多项隐私保护相关专利获得授权。其中3项隐私保护相关专利于10月1日获得授权，分别为“保护隐私的多方数据处理的方法、装置和系统”，授权公告号为CN112613076B，“基于隐私保护的多重线性检测方法、装置及系统”，授权公告号为CN112597540B，“保护用户隐私的用户分类系统的构建方法及装置”，授权公告号为CN111400754B。

经查询，在今年9月，支付宝还有包括“基于区块链的隐私保护方法、装置及电子设备”、“隐私保护算法的验证方法、装置及电子设备”、“保护多方数据隐私的联合建模方法及装置”三项专利获得授权。此前据全球最权威知识产权第三方机构IPRdaily发布的《2020年全球新兴隐私技术发明专利排行榜》显示，蚂蚁集团全球隐私技术专利数累计740件位列第一。[2021/10/12 20:22:59]

6月5日，BAYC在官方推特表示，其Discord服务器今天被短暂攻击，团队很快发现并解决了这个问题，但仍有价值约200 ETH的NFT受到了影响，目前团队正在调查，并建议受影响用户发送电子邮件与官方联系。

动态 | 法国交易所Coinhouse遭受黑客钓鱼攻击 已切换到维护模式以保护用户资金:法国加密货币交易所Coinhouse表示，该公司遭受了一次网络钓鱼攻击，黑客在攻击期间进入了其客户端邮件分发数据库。根据Coinhouse官方推文，黑客成功访问了包含姓名和电子邮件地址的客户端数据库，并利用这些信息开始对用户进行网络钓鱼攻击。Coinhouse因此建议其客户不要点击或回复有关该交易所的电子邮件，并立即将平台切换到维护模式以防止黑客获得用户资金。该交易所声称，他们能够遏制黑客攻击，并迅速向客户发送了一封电子邮件解释如何避免钓鱼攻击。[2019/9/14]

声音 | 许子敬：若解决转账速度和安全保护问题，BTC或可达10万美元:火星人许子敬在微博发文称：“鉴于LTC开发者和BTC开发者的大部分完全重合，一般协议重大升级都会LTC先试水，比如上一次的Segwit协议升级。如果BTC沿着LTC使用EB+WM的技术路线实现扩容+隐私保护，那么BTC将会迎来近五年来最重大的技术升级。如果解决了转账速度和安全保护问题，BTC 10万刀不是梦。”[2019/2/9]

攻击者地址

0x1079061D37f7F3FD3295E4aAd02EcE4a3f20DE2d

第一步，攻击者将钓鱼网站链接发布到官方社群。

第二步，攻击者通过钓鱼网站获得32个NFT，其中包含2个BAYC。

第三步，攻击者卖出钓鱼获得的NFT，通过外部地址，将142ETH发送到Tornado.cash。

截止发文时，攻击者地址累计转出154（约275944.9美元）ETH，其中有142（约254442.7美元）ETH进入了Tornado.cash。

近期，官方discord遭遇攻击的案例越来越多，经过成都链安安全团队分析，其原因可能有：

项目方员工遭受钓鱼攻击，导致账户被盗；

项目方下载恶意软件，导致账户被盗；

项目方未设置双因素认证且使用弱密码导致账户被盗；

项目方遭受钓鱼攻击，添加恶意书签从而绕过浏览器同源策略，导致项目方Discord token被盗。

防技巧

作为项目方，应采用官方建议的使用双因素认证、设置强密码等安全操作来保护账户；项目方要警惕针对自己的各种传统网络攻击和社会工程学攻击，避免下载恶意软件，避免访问钓鱼网站。　

作为web3用户，应首先具备这样的意识：官方discord账户被盗越来越频繁，官方发布的消息也可能是钓鱼信息，官方不等于绝对安全。此外，在任何需要自己授权或交易的地方都需要谨慎，尽量从多个渠道进行信息交叉确认。　

-?马上进行资产隔离，尽快将剩余资产转移到安全位置，避免更大的损失；

-?主动发布声明，告知大家被盗账户的相关信息，避免危及朋友和社区；

-?尽可能保留证据，寻求项目方或机构进行后续处理；

-?可寻求专业的安全公司进行资金追踪，如成都链安。

最后，建议记录并分享被经历，与大家共勉。反钓鱼反，需要每个人都重视，也需要每个人都参与。

来源：成都链安

标签：DISCISCDISNFTDISC币DISC币Mdis FinanceNFTC价格

KuCoin热门资讯