撰文：慢雾安全团队
近期，慢雾 (SlowMist) 受邀参加 DeFiHackLabs 举办的 Ethereum Web3 Security BootCamp。作为演讲嘉宾，慢雾安全审计负责人 Thinking 从「伪、饵、诱、攻、隐、技、辨、御」八个章节，结合实际案例，带领学员深入了解钓鱼黑客的作恶方式及隐匿手段，并提出了相关防范措施。钓鱼是行业重灾区之一，知己知彼，才好做好防御工作。本文将提取分享会中的关键内容，帮助用户了解钓鱼攻击的现状和有效规避钓鱼攻击威胁。
为什么会被钓鱼
Web3 世界中，钓鱼攻击已成为主要的安全威胁之一。我们先来看下，用户为什么会被钓鱼。其实，即使安全意识较高的用户有时也会发出「常在河边走，哪有不湿鞋」的感概，毕竟一直保持最高警惕性是很难做到的。攻击者通过分析近期热点项目及社区活跃情况、用户规模等因素，选择高关注度的目标并精心伪装，再通过空投、高收益等诱饵吸引用户上钩。这些攻击手法通常伴随社会工程学，攻击者十分善于利用用户心理实现诈骗目标：
- 利诱：Airdrop 资格白名单，挖头矿，财富密码等。
- 好奇 / 贪婪：无惧卖飞的逃顶策略，不容错过潜在 100 倍币，今晚 10 点不见不散，会议链接 https://us04-zoom[.]us/（恶意）；$PENGU 空投白名单不容错过，https://vote-pengu[.]com/（恶意）。
- 恐惧：紧急告警：XX 项目被黑，请使用 revake[.]cash（恶意）取消授权，避免资金损失。
- 高效工具：薅空投工具，AI 量化工具，一键挖矿薅羊毛等。
攻击者费功夫制造并投放诱饵无非是因为有利可图，通过以上手段，攻击者便能轻松获取用户的敏感信息 / 权限，进而盗取用户资产：
- 盗取助记词 / 私钥：欺骗用户输入助记词或私钥。
- 欺骗用户使用钱包签名：授权签名，转账签名等。
- 盗取账号密码：Telegram，Gmail，X，Discord 等。
- 盗取社交应用权限：X，Discord 等。
- 诱导安装恶意程序：假钱包 APP，假社交 APP，假会议 APP 等。
钓鱼手段
接下来，我们看看常见的钓鱼手段有哪些：
盗取账号 / 高仿账号
近期 Web3 项目方 /KOL 的 X 账号被盗事件频发，攻击者盗取账号后常推广虚假代币，或是在发布的「好消息」里构建相似的域名诱骗用户点击。当然，也存在域名是真实的情况，因为攻击者可能接管了项目方的域名。一旦受害者点进钓鱼链接，进行签名或者下载恶意软件，便会被盗。
除了盗取账号的方式，攻击者在 X 上还常利用高仿的账号在真实账号的评论区留言以诱导用户。慢雾安全团队曾做过针对性的分析统计：约有 80% 的知名项目方在发布推文后，评论区的第一条留言会被诈骗钓鱼账号所占据。攻击者利用自动化机器人关注知名项目方动态，在项目方发布推文后，钓鱼团伙的机器人会自动化第一时间留言以确保占据第一条留言位置，蹭到高浏览量。由于用户正在浏览的帖子是真实项目方发送的，且经过伪装后的钓鱼团伙账号和项目方的账号高度相似，这时只要用户警惕性不够，点击高仿账号里空投等名义的钓鱼链接，然后授权、签名，便会损失资产。
攻击者还会冒充管理员发布假消息，尤其是在 Discord 上这种现象更为常见。Discord 支持用户自定义昵称和用户名，于是攻击者将头像和昵称改成与管理员一致的，然后在频道内发布钓鱼信息或者私信用户，用户不点开账号的资料查看用户名的话，很难发现问题。此外，虽然 Discord 用户名不可重复，但攻击者可以使用与管理员用户名高度相似的名字，比如仅在用户名中多添加个下划线或者一个英文句号，使得用户难辨真假。
邀约钓鱼
攻击者常通过和受害者在社交平台建立联系，向用户推荐「优质」项目或者邀请用户参加会议，引导受害者访问恶意的钓鱼站点，下载恶意的应用程序，此前便有用户因为下载了假 Zoom 导致被盗的情况。攻击者使用形如「app[.]us4zoom[.]us」的域名伪装成正常 Zoom 会议链接，页面与真 Zoom 高度相似。当用户点击「启动会议」按钮，便会触发下载恶意安装包，而非启动本地 Zoom 客户端或下载 Zoom 的官方客户端。由于恶意程序在运行时就诱导用户输入密码，并且后续的恶意脚本也会采集电脑中插件钱包数据和 KeyChain 数据（可能包含用户保存在电脑上的各种密码），攻击者收集后就会尝试解密数据，获得用户的钱包助记词 / 私钥等敏感信息，从而盗取用户的资产。
利用搜索引擎排名
由于搜索引擎的排名结果可以通过购买 ad 推广来提升，这也就导致钓鱼网站排名可能还比真官网靠前的情况，用户在不清楚官网网址的情况下，仅凭网站的展示页面很难判断出这是不是个钓鱼网站，并且钓鱼网站在 Google Ads 推广功能中可以自定义 ad 展示的 URL，在 Sponsored 中展示的 URL 可能和官方的 URL 完全一致，但是用户点击 ad 的 URL 会跳转到攻击者构建的钓鱼网站中。由于攻击者制作出的钓鱼网站与真官方网站极为相似，可以以假乱真，因此不建议用户直接通过搜索引擎找官网，这样很有可能会进到钓鱼网站。
TG 广告
近期因为假冒的 TG Bot 而受损的用户大幅增加，多位用户报告在使用交易机器人时，频道顶部出现了一个新的机器人，以为是官方新推出的，于是点进新机器人导入私钥绑定钱包，结果被盗。攻击者利用 Telegram 精准投放广告至官方的频道，引诱用户点击。这类钓鱼手法隐蔽性较高，由于这个广告出现在官方频道，用户很容易下意识认为是官方发布的机器人，一旦警惕性不够，点进了钓鱼 Bot，上传私钥进行绑定，便会被盗。
此外，我们近期还披露了一种新型手法｜Telegram 假 Safeguard 骗局，不少用户因为按照攻击者的教程运行了恶意代码导致被盗。
APP 商城
应用商城（Google Play，Chrome Store，App Store，APKCombo 等）上的软件并不都是正版，很多时候商城没有办法对软件进行完全的审核。一些攻击者通过购买关键词排名引流等方式诱导用户下载欺诈 App，请广大读者注意甄别，在下载前，一定要先查看应用开发者信息，确保其与官方公布的开发者身份一致，还可以参考应用评分、下载量等信息。
钓鱼邮件
邮件钓鱼是最经典的套路，可以说是「朴实无华」，攻击者使用钓鱼模板，再加上 Evilngins 反向代理，就可以构建类似下图中的邮件：用户点击「VIEW THE DOCUMENT」后，便会跳转到虚假的 DocuSign 界面（现已无法打开），随后如果用户在该界面点击谷歌登录，便会跳转到被反向代理的谷歌登录窗口，一旦输入账号、密码、2FA，账号便被攻击者接管。
上图中的钓鱼邮件显然处理得不够精细，因为发送方的邮箱地址并未进行伪装，我们看下图中的攻击者是如何伪装的：攻击者的邮箱地址仅比官方的地址多了个小点，攻击者通过 DNSTwist 可以找到 Gmail 支持的特殊字符，不仔细看的话还以为是电脑屏幕不干净。
利用浏览器特性
详情见慢雾：揭露浏览器恶意书签如何盗取你的 Discord Token。
防御挑战
攻击者的手段在不断进化，整体上往精细化，模板化的方向发展。此前我们分析发现，攻击者不但能够制造出与知名项目方官网高度相似的网页和接管项目方的域名，还出现了一整套项目都是虚构的情况，虚假项目不但在社交媒体上有着众多粉丝（买的），甚至还有 GitHub 仓库，这给用户识别钓鱼威胁带来了更大的挑战。此外，攻击者对匿名工具的熟练运用也使得追踪他们的痕迹变得更为困难复杂。攻击者为隐匿身份，常使用 VPN、Tor、甚至控制被黑的主机实施恶意行为。
有了匿名身份后，攻击者为构建钓鱼网络，还需要采购基础服务设施，如 Namecheap，支持加密货币付款，有些服务仅需一个邮箱便可注册，无需 KYC 验证，攻击者也就能避免身份被追踪到。
在上述基础准备好后，攻击者便可发动钓鱼攻击。获利后的资金再利用 Wasabi、Tornado 等服务混淆资金路径。为进一步增强匿名性，还可能将资金再换为门罗币等具有高度匿名性的加密货币。
为避免留下样本和证据，攻击者会扫清痕迹，删除相关域名解析、恶意程序、GitHub 仓库、平台账号等，这也就导致安全人员在分析事故时常碰见钓鱼网站已经打不开，恶意程序已无法下载的情况，增加了分析和追踪难度。
防御策略
用户可以根据上图中的特征来识别钓鱼威胁，并掌握验证信息真伪的基本方式，还可以使用一些防御工具提高防钓鱼能力：
- 钓鱼风险阻断插件：如 Scam Sniffer 可以多维度检测风险，用户在打开可疑的钓鱼页面时，工具会及时弹出风险提示。
- 交互安全性高的钱包：如 Rabby 的观察钱包（无需私钥）、钓鱼网站识别、所见即所签、高风险签名识别、历史记录 Scam 识别等功能。
- 国际知名杀毒软件：如 AVG、Bitdefender、Kaspersky 等。
- 硬件钱包：硬件钱包提供了一种离线存储私钥的方式，使用硬件钱包和 DApp 进行交互的时候，私钥不会暴露在网上，有效降低资产被盗风险。
写在最后
在区块链黑暗森林中，钓鱼攻击无处不在。修行就在起心动念处，需要看好自己的心念，避免于境「起心动念」而不自觉。行走于区块链黑暗森林，最根本的是要养成保持零信任和持续验证的习惯，建议大家深度阅读并逐步掌握《区块链黑暗森林自救手册》。
由于篇幅限制，本文仅介绍分享会中的主要内容，近七十页的 PPT 现已公开。
