火星链 火星链
Ctrl+D收藏火星链
首页 > MEXC > 正文

CHA:黑客开始瞄准 NFT 这份 NFT 防盗入门指南请收好

作者:

时间:1900/1/1 0:00:00

学会安全存储你的NFT资产,并避免遭受。

原文标题:《NFT防盗指南:如何保护资产安全?》

随着NFT用户数、交易量和市值的不断攀升,钓鱼者、黑客等不法分子也开始瞄准这个市场,进一步威胁NFT生态的安全。

区块链安全和数据分析公司PeckShield编写的表格显示,在一次钓鱼攻击中,254个总价值约为170万美元的NFT遭到盗窃;愚人节当天周杰伦的NFTBAYC#3738被盗走,该事件是典型的由钓鱼网站诱导mint从而获得用户NFT操作权的案例;一个名为MoonManNFT的项目,该项目借由freemint的名头,盗走了近400个NFT……

一般来说,黑客会通过Discord和Telegram锁定收藏者,并通过诱导mint、钓鱼攻击等方式盗走用户的NFT资产。随着当下技术发展,NFT投资者和收藏者必须及时了解保护资产的最新方法。

NFT安全存储基本知识

请牢记:

你的NFT并非储存在电脑或移动设备上,而是在IPFS或Arweave这样的去中心化空间。

拥有私钥,就有了对区块链/你的资产的完全访问权限。

派盾:推特账户@TheViralFever遭黑客攻击,发布虚假ENS空投链接:金色财经报道,据派盾PeckShield监测,其社区贡献者报告推特账户@TheViralFever遭到黑客攻击,并且已被攻击者用于发布虚假ENS空投链接,mainnet-ens[.]domains为钓鱼网站。请用户提高警惕。[2023/1/6 15:39:26]

Shamir私钥分割方案能为助记词提供二级保护。

1.你的NFT储存在哪里?

NFT并非储存在冷钱包、PC端或热钱包中。NFT是位于以太坊区块链上的代币,由全球2400多个运行中的网络节点承载。NFT受到完全去中心化系统的支持,它能确保NFT生态正常运转,也能够验证线上交易。当你进行NFT交易时,实际发生的活动是数据库对该NFT的地址进行更改。

2.你的图片、动图和音乐在哪里?

NFT的URI标记了图片的位置。NFT一般位于像IPFS或Arweave等去中心化存储空间。在Web2中,也有AWS这样的中心化存储器。

3.钱包

钱包是一个储存私钥的软件,能够支持交易活动。钱包分为两种:热钱包和冷钱包。

分析:BNB Chain黑客布局最早可追溯到10月6日:10月7日消息,欧科云链链上卫士团队针对此次BNB Chain被盗案发布案件分析,在通过OKLink BSC浏览器追踪BNB Chain被盗一案时,此次案件黑客最早于10月6日便使用ChangeNOW服务转入了起始攻击资金(100多枚BNB)到BSC链上,随后黑客通过调用系统RelayerHub合约0x1006进行注册,然后对系统CrossChain合约0x2000发起攻击。

据链上卫士团队分析,此次黑客对BSC跨链桥发起攻击,两次攻击累计从中盗取200万个BNB并转移至0x489A开头地址,并通过Venus的借贷服务,抵押了90万个BNB,从中借走5000万USDT、6250万BUSD和3500万USDC。随后,黑客又使用Stargate跨链桥,将约9000万美元攻击所得资金资产转移到ETH(占比58%)、Fantom(占比33%)及AVAX等网络上。最终今晨6:19分,BNB Chain官方推特宣布BNB Chain暂停运行。

此前消息,欧科云链OKLink多链浏览器已对BNB Chain黑客地址进行风险标签标记(标记为“Hack”),当前地址余额超7亿美元。[2022/10/7 18:41:51]

热钱包:能够在通用设备上运行的软件,能Web3连接,只需点击鼠标就能接收资产。

智能元宇宙项目Alethea AI的Discord被黑客攻击:3月29日消息,智能元宇宙项目Alethea AI发推称其Discord被黑客攻击,目前正在评估情况。[2022/3/29 14:25:30]

冷钱包:专用于硬件设备,能与Web3连接并接收资产。它与热钱包的主要区别是,冷钱包的助记词从不联网,若要进行交易,必须通过物理手段批准。

选择了合适的钱包后,你需要了解它的功能:

首先,热钱包/冷钱包会要求你创建一个密码,此密码在特定设备上是唯一的。只有知道密码,才能访问钱包。

你可以自由分享钱包的公共地址,此地址与Web3的电子邮件地址没有区别,知道了你的地址,任何人都能向你发送NFT。这也就催生了新的黑客攻击载体。黑客会向人们发送NFT,当人们与该NFT互动时,黑客就会窃取此人钱包中的资产。请谨记,不要点开陌生NFT!此外,人们也会利用流氓签名或批准来获取你的IP地址。

钓鱼邮件也是寻常的方式。邮件的目的是引诱你把钱包连接到虚假网站,以便黑客窃取资产。所以,千万不要点开陌生链接!务必时时检查网站名称。目前黑客攻击的方法比较单一,只能从公共地址和电子邮件下手,只要不理会它们就可以了。

Okcoin宣布开设新的迈阿密办事处并赞助ShellHacks黑客马拉松活动:8月25日消息,加密货币交易所Okcoin宣布开设新的迈阿密办事处,并进一步计划如何最好地支持该市不断发展的科技社区,包括赞助佛罗里达州最大的黑客马拉松ShellHacks,并且也是该活动第一个加密货币赞助商。(Beincrypto)[2021/8/25 22:36:32]

你要保管好私钥,它是访问你的公共地址的密码,私钥的功能有:

将你的NFT移出地址。

签署合同,来证明你拥有该地址的私钥。

公共地址和私钥最大的区别是,你永远也不能向任何人透露自己的私钥。否则,他们就能把你的私钥导入他们的钱包,窃取你所有的资产。

明确了私钥和公共地址的概念,我们再来看一下助记词。助记词一般由12、18或24个单词构成,用于找回钱包。如果丢失私钥,你可以使用助记词新建一个。与私钥一样,助记词永远不能被第二个人知道,也不能存储在电子存储设备或服务商中。最理想的方式是物理存储,比如写在纸上。有人也使用铁制品存储助记词,因为它更加防火。其他方式,例如口令,也能增加钱包安全性。口令是一串符号或单词,将其与助记词结合,就能在原有钱包的基础上创建新钱包。打个比方,若要在原有钱包的基础上创建新的钱包,只需输入:

白帽黑客帮助MetaMask网络钓鱼攻击受害者收回11.7万美元加密货币:一位MetaMask用户遭遇网络钓鱼攻击,无意中将其私钥交给了子。一名白帽黑客成功挽救该用户钱包(持有24万美元资金)的一半资金。

Reddit用户“007happyguy”被引导填写Whitehat热线表格,并发布其详细信息。表格的另一端是一些白帽黑客。这是一项临时服务,如果有空的话,开发者可以选择回应请求。前ZenGo区块链研究员Alex Manuskin回应了请求。Manuskin做的第一件事是核实该Reddit用户拥有的钱包,并且确认其没有试图获取其他人的资金。此时他必须通过索要私钥来访问钱包。然后他确保子不能再从钱包转移走资金。为了在以太坊进行交易,用户需要一些ETH来支付交易费用。因此,他确保任何发送至该钱包的ETH都会被自动发送出去。

为了拯救剩余资金,Manuskin使用了Flashbots,这是一种支持开发人员和矿工之间通信的服务。简而言之,开发人员可以使用Flashbots向矿工发送一个交易“包”,直接包含在一个区块中,而不是向网络广播交易。

之所以有效是有两个原因。这种情况的主要原因是,如果钱包里没有任何ETH,任何零交易费用的交易都不会被任何矿工打包。使用Flashbots的情况是,进行了一项复杂的交易,将资金转移到另一个钱包,并一次性使用其他资金支付给矿工。第二个原因是它更隐蔽。如果任何交易被广播到公共网络上,者就有机会抢先交易。

Manuskin解释说,编写定制脚本和执行交易大约需要5-6个小时。时间的长短取决于交易的复杂性以及他以前是否经历过类似的情况。在子开始转移钱包资金后,Manuskin设法从钱包剩下的12万美元代币中挽救了大约11.7万美元。(The Block)[2021/7/18 0:59:49]

助记词+「NFTGo」

助记词+任意数字

助记词+任意字母

助记词+任意短语

上述任一方式都能创建一个具有不同私钥公共地址的新钱包,但口令这一功能只对冷钱包适用。

4.添加第二层保护

购买冷钱包是提升安全性的有效途径。Trezor,Ledger和Keystone是几款最受欢迎的硬件钱包,但各自有优势和不足。每种冷钱包都有其特色。比如Keystone使用二维码进行数据传输,避免了木马病通过USB接口或者蓝牙被传输到硬件钱包的风险,同时也是首个支持ENS(EthereumNameService)的硬件钱包,免去了核对原始地址的麻烦。此外,用户可以用NFT自定义其4英寸的屏幕。

我们以Keystone为例进行设置。

从官方网站购买Keystone钱包。

安装Keystone套件。

启动Keystone。

设置你钱包的PIN——专属于此设备的口令。

如果是企业使用的话,推荐使用Shamir私钥分割方案,把2组助记词分成3组,或把3组助记词分成5组,你可以把这3组私钥保存在不同地方。如果你有5个Shamir备份中的3个并且丢失了其中2个,你仍然可以使用剩余的3个备份来恢复您的钱包。

我们以转移一个BAYC为例具体来看NFT硬件钱包的使用。在Keystone中,用户可以使用microSD卡中上传的ABI数据文件快速确认地址的真实性,地址旁边会出现蓝色字体的「BoardApeYachtclub」,还需要确认该交易是否涉及任何恶意行为,以免将您的NFT签署给者或黑客。

避免NFT的方法

1.务必从官网下载Web3app或钱包

导致加密/NFT黑客攻击的主要原因是用户对非官方网站的访问。绝大多数此类网站是为了行而建立,看上去与官方网站极其相似。不要从GooglePlay下载Web3app,它们可能不是从原始渠道获取的。你可以参考以下建议,来鉴别官方网站:

关注网址栏。只点击以https://开头的网址,「s」代表「安全」,表示该网站的数据是加密传输的,能阻止黑客攻击。

检查域名。黑客最青睐的伎俩就是创建山寨网站,其域名与正版网站十分相似,只有双击才能察觉区别。例如,https://wobble.com这个网站的山寨版可以是https://w0oble.com。请记得时时双击域名的所有字母。

留心拼写错误。多数虚假网站是粗糙赶工而成,拼写、读音、大小写和语法都会出错。

2.只浏览官方频道、官方推特和官方链接

前面提到,你只能相信官方网站、推特账号和discord。你可以参考下列建议来验证:

检查账户活动。

检查粉丝数。

检查账户历史。

检查评论和参与度。

3.不要与任何人共享登陆凭证或私钥

有句话在加密圈十分流行:「无钥即无币,币钥为一体」。一旦你的私钥或助记词被分享出去,这个账户就再也不属于你了。最好的做法,是不让其他人拿到私钥。

4.先验证NFT再购买

在NFT生态系统中,尽职调查总是非常重要。购买或铸造NFT之前,务必要检查项目涉及到的团队的声誉,其社区中的有机互动,以及人们对该项目的看法。

5.使用多个钱包铸造NFT

比如,Burner钱包是专为NFT铸造创造的二级钱包。这些钱包都是以铸币所需的gas数额来创建并注资。铸币完成后,铸成的NFT被发送到另一个钱包,它的作用是存储NFT。这就减少了主钱包与易被攻击网站互动的风险。你可以创建多个burner钱包,一旦发现漏洞,就立即丢弃它。

6.谨慎点击陌生账户的链接

黑客的常见术,是通过陌生的Discord账户或冷邮件发送赠品或白名单链接。务必将Telegram、Discord和邮件设置为不接收陌生账户或非官方地址的消息,也请提防用户假扮群主或官方DM你。

7.检查令牌批准&撤销不使用的令牌

人们每天都与不同的协议和链接互动,基于智能合约上的信息给予其访问权限和许可。时常审查和撤销访问权限十分重要。https://revoke.cash/网站可以帮您取消访问权。

8.进行下一步之前,仔细阅读并核实智能合约的交易条款

确认交易前,务必确保自己认真阅读了智能合约中的每个细节。很多黑客利用智能合约取许可,从而随意访问你钱包中的资金。你要认真阅读,确保合约中的细节不会构成威胁,也不是存在漏洞。

9.紧跟新闻,了解新漏洞

结语

人们对NFT市场的兴趣日益增加,不法分子也潜伏其中,利用伎俩从收藏者和投资者手中偷取作品和资金,请确保自己的宝贵资产、钱包和资金不落入黑客手中。

标签:NFTBNBAINCHAapenft币的未来价值bnb价格今日行情DNP chainCHADS

MEXC热门资讯
TTE:Twitter如何去中心化?看看这十个SocialFi项目

链上内容社交平台的春天来了?"ILoveTwitter","Howmuchisit",喜欢就买下来,马斯克说到做到.

1900/1/1 0:00:00
TTE:拿下Twitter的马斯克 掐住了 Web3 的喉舌

谁能想到,马斯克收购Twitter的节奏,比拿破仑攻破巴黎还要快。 如果回到那个传讯还靠卖报小弟吆喝的年代,估计街头小报要被这出一天一个样的快节奏「商业爽剧」逼疯.

1900/1/1 0:00:00
BIT:全览 Arbitrum 上百个生态项目:跨链、DeFi、基础设施、NFT 全方位发展

在Optimism官宣发币和慷慨空投之后,另一Layer2扩容方案挑战者Arbitrum的早期参与机会也备受关注.

1900/1/1 0:00:00
DAO:10个正在被DAO颠覆的行业

DAO会是下一次工业革命吗?基础设施/金融法律可持续发展教育领域行动主义IRL(现实生活)风险投资艺术科学时尚在我们写下《DAO改变世界的15种方式》后的8个月里.

1900/1/1 0:00:00
MINT:深度解析:NBA的16进制合约漏洞是怎么被科学家薅秃噜皮的?

今早一觉睡起来看群里大家都在讨论昨晚NBA带给科学家的狂欢,据说有人直接freemint了100个,按照现在0.4ETH的地板价也有一百万人民币了,原由是合约又出现了漏洞.

1900/1/1 0:00:00
VITA:Vitalik对“信任模型”的思考

许多区块链应用程序最有价值的属性之一就是去信任:应用程序能够以预期的方式继续操作,而不需要依赖特定的参与者以特定的方式进行操作.

1900/1/1 0:00:00