新手Web3安全指南：如何避免空投骗 局
背景
在我们之前的Web3安全指南中，讨论了多签钓鱼攻击，介绍了多签钱包的工作原理、攻击者如何利用它们以及如何保护您的钱包免受恶意签名的侵害。在本期指南中，我们将探讨一个在传统行业和加密行业中广泛使用的营销策略——空投。
空投可以迅速将一个不知名的项目变成众人关注的项目，帮助其快速建立用户基础并提升市场知名度。通常，用户要访问链接并与项目互动才能领取空投的代币。然而，从伪造网站到隐藏后门的工具，黑客在空投过程中设下了各种陷阱。本指南将分析常见的空投骗 局，帮助您避开这些陷阱。
什么是空投？
空投是指Web3项目向特定钱包地址分发免费代币，以提高项目的知名度并吸引早期用户。这是项目获取用户基础的最直接方法之一。根据领取方式，空投通常分为以下几类：
- 任务型：完成项目指定的任务，如分享内容或点赞帖子。
- 交互型：进行代币交换、发送/接收代币或跨链操作等。
- 持有型：持有项目指定的代币，符合空投资格。
- 质押型：通过单资产或双资产质押、提供流动性或长期锁仓赚取空投代币。
领取空投的风险
虚假空投骗 局
这些骗 局可以分为几类：
1.官方账户被劫持：
黑客可能会控制项目的官方账户并发布虚假空投 公告。例如，常见的情况是新闻平台上出现“项目X的Twitter或Discord账号被黑，不要点击黑客分享的钓鱼链接”的警告。我们的2024年上半年区块链安全与反洗钱报告显示，2024年上半年就发生了27起此类事件。用户出于对官方账户的信任，可能会点击这些链接，进而被重定向到伪装成空投页面的钓鱼网站。如果他们输入了私钥、助记词或授予了权限，黑客便能窃取其资产。
2.评论区的假冒行为：
黑客经常创建假的项目账号，在真实项目的社交媒体渠道的评论区发布假冒空投的消息。放松警惕的用户可能会访问这些链接，进入钓鱼网站。例如，慢雾（SlowMist）安全团队曾分析过这种手法，并在一篇名为《警惕评论区假冒行为》的文章中提供了建议。此外，在合法空投宣布后，黑客会迅速使用与官方账号相似的假账号发布钓鱼链接，许多用户因此被骗，安装了恶意应用或在钓鱼网站上签署了交易。
3.社会工程攻击：
在某些情况下，骗子会渗透进Web3项目群，针对特定用户，使用社会工程技术欺骗他们。他们可能假扮成支持人员或热心的社区成员，声称可以引导用户领取空投，但实际目的是窃取他们的资产。用户应保持警惕，不要轻信任何自称为官方代表的陌生人提供的帮助。
4.“免费”空投代币
虽然大多数空投要求用户完成任务，但也有一些情况是代币会在用户未采取任何行动的情况下出现在钱包中。黑客经常向用户钱包空投毫无价值的代币，诱使用户与这些代币交互，比如转移、查看或尝试在去中心化交易所交易这些代币。然而，当你试图与这些骗 局NFT交互时，就可能会遇到错误信息，提示你访问某个网站才能“解锁你的物品”。这其实是通往钓鱼网站的陷阱。
如果用户访问诈 骗 NFT 链接的钓鱼网站，黑客可能会执行以下操作：
“零成本购买”有价值的 NFT（参考“零成本购买”NFT 钓鱼分析）。
通过批准（Approve）授权或许可（Permit）签名窃取高价值代币。
拿走原生资产。
接下来我们来看看黑客是如何精心谋划恶意合约用于窃取用户的gas费的。
首先，黑客在币安智能链（BSC）（0x513C285CD76884acC377a63DC63A4e83D7D21fb5）上创建了名为GPT的恶意合约，并通过空投代币引诱用户与之交互。
当用户与此恶意合约交互时，系统会提示他们批准该合约在其钱包中使用代币。如果用户批准此请求，恶意合约会根据用户的钱包余额自动增加gas限额，导致后续交易中的gas消耗更高。
通过利用用户提供的高gas限额，恶意合约使用多余的gas来铸造CHI代币（CHI代币可用于gas补偿）。积累大量CHI代币后，黑客可以在合约被销毁时销毁这些代币以获得Gas退款。
https://x.com/SlowMist_Team/status/1640614440294035456
通过这种方式，黑客巧妙地从用户的gas费中获利，而用户可能不知道自己已经支付了额外的gas费。用户最初希望通过出售空投的代币来获利，但最终却失去了自己的原生资产。
后门工具
https://x.com/evilcos/status/1593525621992599552
在领取空投的过程中，部分用户需要下载插件来完成转化、查看代币稀有度等任务。但这些插件的安全性值得怀疑，部分用户并不从官方渠道下载，大大增加了下载带有后门插件的风险。
此外，我们注意到在线服务出售用于领取空投的脚本，声称可以有效地自动化批量交互。但是，请注意，下载和运行未经验证和未经审查的脚本是非常危险的，因为您无法确定脚本的来源或其实际功能。这些脚本可能包含恶意代码，构成潜在威胁，例如窃取私钥或助记词，或执行其他未经授权的操作。此外，一些用户在进行此类危险操作时，要么没有安装防病毒软件，要么已禁用防病毒软件，这可能会阻止这些软件检测自己的设备是否已被恶意软件破坏，从而导致进一步的损害。
结语
在本指南中，我们通过分析常见的诈 骗策略，强调了与领取空投相关的各种风险。空投是一种流行的营销策略，但用户可以通过采取以下预防措施来降低在此过程中资产损失的风险：
全面验证：访问空投网站时务必仔细检查 URL。通过官方账号或公告确认，并考虑安装Scam Sniffer等钓鱼风险检测插件。
使用隔离钱包：仅将少量资金存放在用于空投的钱包中，同时将大量资金存放在冷钱包中。
谨慎对待未知空投：不要参与或批准涉及来源不明的空投代币的交易。
检查 Gas 限制：在确认交易之前，请务必检查 Gas 限制，尤其是当它看起来异常高时。
使用信誉良好的防病毒软件：启用实时保护并定期更新防病毒软件，以确保阻止最新威胁。
你可能感兴趣的文章
-
币圈新手如何避免诈 骗？八种最常见的虚拟货币诈 骗手法
随着加密货币兴起，许多诈骗集团开始把目标转向币圈，相信你也时常在新闻上看见相关诈 骗案件发生,那么，如何预防加密货币诈 骗？本文将为大家汇总八种最常见的虚拟货币诈 …
2024-09-13 -
一个老站长推荐的宝典：新手初入加密世界之投资指南
很多新手刚进入币圈，都不知道如何投资，本文为大家分享一位老站长的加密货币投资宝典，通过下文让初入加密世界的你，都能搞懂如何投资加密货币，并附上加密货币注册，卖币…
2024-09-13 -
新手指南：ICO是什么？新手如何判断ICO项目？
ICO是一种募资的手段，可以是众筹或是私人的形式,ICO中，企业或个人可以发行加密货币，以代币的形式向大众换取换取法定货币或其他大型稳健的加密货币，那么究竟ICO是什么？…
2024-07-12 -
Web3新手必备：我的比特币为什么有多种地址？
Bitcoin社区是一个技术不断发展的社区，技术的发展产生新的内容,不同的地址格式可以认为是新技术应用的结果,接下来探索一下不同地址格式的区别是什么…
2024-05-24 -
进入币圈需要了解什么？进入币圈要哪些技能？
随着加密货币和区块链技术的不断发展，币圈已经成为一个备受关注的领域,但是对于新手来说，币圈的世界可能有些神秘和复杂,那么，进入币圈需要了解什么？进入币圈要哪些技能…
2024-02-05 -
Web3新人必读指南:零基础如何入门Web3.0
Web3作为一种新兴技术，涉及到加密货币、智能合约、去中心化应用（DApps）等多个领域,在这份必读指南中，我们筛选出了Web3重点领域的必读内容，帮助零基础新人快速入门…
2024-01-10 -
新手刚入币圈如何避坑？给币圈新人炒币的几点建议
新手刚入币圈如何避坑？本文将为你提供一个币圈新人避坑指南，给币圈新人炒币的几点建议，如果你是新手，不妨参考一下…
2024-09-09 -
新手指南：在加密市场从零赚取第一桶金的8个方法
在一般人的认知中，加密货币投资需要数千美元的启动资金,其实不一定，甚至有可能从0 美元开始赚钱,本文将展示8 种从0 开始的方法…
2024-08-22 -
新手指南：加密货币交易的10个最佳技术指标
在2024年加密货币交易的动态领域中，利用精确而强大的分析工具对于驾驭市场波动和预测价格趋势至关重要,技术指标通过分析过去的市场数据在预测未来价格走势方面发挥着至关…
2024-07-24 -
新手指南：2024年最值得投资的顶级加密货币推荐
对于新手来说，进入币圈最大的疑问，便是投资哪个加密货币的问题，加密市场的币种千千万，该如何选择，确实让人头痛，下文将为新手投资者推荐2024年最值得投资的顶级加密货…
2024-07-24
