USD:復盤錢包被盜案例，探討如何在Web3.0實現資產安全？

原文標題：《技術|從一個錢包被盜的案例，探討Web3的安全指南》

原文來源：阿法兔研究筆記

原文作者：Chris阿法兔

背景

技術出身的小C，最近在學習區塊鏈開發。本身是專業開發者，已經很謹慎小心了，通常都是在測試網絡上跑，跑完之后，再會去正式網絡上部署，但是沒有意識到整個產業目前還處在相對混亂的階段，麻痹大意，順手習慣導致造成了損失。

損失是如何造成的？

2021年的最后一天，小C偶然看到一個賬號很有趣，就追蹤了他的一些鏈上交易，然后看到了一個非常有意思的項目，然后就鬼使神差地連上了自己的MetaMask，然后鬼使神差的進行了approve，因為一般Web3的項目就是這個流程，approve然后轉賬就結束了。

但是令人驚呆的一幕出現了：點完之后，整個網站突然卡死了，沒有任何反應，小C當時沒當回事，把站點給關了，去做其他事情了。

過了大概一天，小C重新回來開發的時候，發現賬上的錢全部沒有了，去查了歷史記錄，發現賬上的余額已經被全部轉走。

Certik復盤Yearn閃電貸攻擊：黑客完成5次DAI與USDT從3crv中存取操作后償還閃電貸:Certik發布文章，復盤Yearn閃電貸攻擊。黑客操作的具體操作如下：

1.利用閃電貸籌措攻擊所需初始資金。

2.利用 Yearn.Finance 合約中漏洞，反復將 DAI 與 USDT 從 3crv 中存入和取出操作，目的是獲得更多的3Crv代幣。這些代幣在隨后的3筆轉換代幣交易中轉換為了USDT與DAI穩定幣。

3.完成5次重復的DAI 與 USDT 從 3crv 中存取操作后，償還閃電貸。[2021/2/5 18:57:51]

盜取者是怎么把小C賬戶上的錢都轉走的？

現象：只要你approve了，不需要私鑰理論上也可以把對應的錢全部轉走。

小C進行了下溯源，大概是在一個釣魚網站的approve出了問題，于是追溯該轉賬記錄。

如圖，可以看到，先是approve了一個合約，授權了釣魚合約能夠對賬號里面BUSD進行操作，而且是沒有數量限制的。

主力數據復盤：火幣BTC主力在拉升前開多近3000萬美元:AICoin PRO版K線主力大單跟蹤顯示：剛剛，比特幣現貨價格拉升至最高11500美元。拉升前，火幣BTC當季合約大額委托單頻繁出現并成交。其中，一共成交20筆，價值近3000萬美元的大額委托買單。

AI-PD-持倉差值在大部分大額委托買單的成交過程中為較高綠柱，即持倉量增加明顯，可判斷為買入開多。[2020/8/27]

為什么會是BUSD呢？小C回憶了一下，一進入這個釣魚站點是默認選了BUSD，估計在瀏覽站點鏈接錢包之后，盜取者就已經篩選了出了賬號里面錢最多的token了。

然后當小C以為這是一個新的swap合約，并且有很高的年化收益，準備先試試的時候，按照常規流程就進行approve。approve結束后，網站直接卡了。

后來經過追溯，大概在授權之后幾十秒，合約就直接觸發了一個轉賬操作，直接把BUSDtoken給轉走了。

后來去查了一下授權的信息

基本上MetaMask默認授權的時候是：

萬卉復盤Yam事件：反饋周期將是未來線上治理的關鍵參數:8月13日消息，Primitive Ventures創始合伙人萬卉在微博復盤Yam事件，她提到反饋周期將是未來線上治理的關鍵參數，此外，項目方不應通過軟性賄賂影響博弈結構。萬卉還表示，在溝通過程中沒有把復雜的信息做到社區可以消化的轉述（這個確實很難，但是未來的社區治理要吸取經驗教訓），并且合約寫死的時間線過于緊湊，導致出事沒有足夠的協調時間，這個當年在312的時候MAKER拍賣也發生過，當時也是時間太緊張導致流拍。這個反饋周期是未來線上治理一個很關鍵的參數，不能太短，也不能太長。

在號召投票的時候，不應該通過“軟性賄賂”來影響博弈結果。譬如為了獲取足夠的票倉，來進行投票獎勵。這個會影響理性的判斷，特別是對于信息有限的社區成員，可能會帶來負外部性。[2020/8/13]

轉換成數字，我們認識的就是1.157920892373162乘以10的59次方。基本上就可以理解為無限量轉賬了，也就是這個授權的操作，可以讓這個合約無限量的操縱我賬號的token。看到這里感覺背后一涼，因為以前點過很多次approve都是不會去看的。

主力復盤：暴跌前24小時火幣主力賣出1.1億美元:AICoin PRO版K線主力大單統計顯示：8月1日13:45-8月2日12:15，火幣BTC季度合約主力大單委托頻繁出現并成交。其中，一共成交了110筆，共計1.1億美元大額委托賣單；成交了76筆，共5155萬美元大額委托買單，成交差-5846.7萬美元。[2020/8/3]

然后黑客操縱一個可以控制這個合約方法的錢包地址，就發起合約轉賬方法，把錢轉走了。所以小伙伴之后點metamask授權的時候一定要小心。

小C查了下，盜取者現在這個賬號里大概已經有了3w美金的token了，現在還有源源不斷的受害者在轉錢。但是面對區塊鏈沒有辦法，根本無法找不到這個黑客是誰。

問題到底出在哪里？

因為最近在學習區塊鏈。小C大概理了一下這個釣魚的邏輯方式，害人之心不可有，防人之心不可無。大家有興趣可以了解一下：

正常轉賬

案例一：直接用戶間轉賬A用戶向B用戶轉賬BUSD

合約正常會檢查以下邏輯

主力數據復盤：大量主力恐慌性平空買入推高了價格:AICoin PRO版K線主力數據顯示，在此輪拉升中，多個平臺都出現了大量的大額買入平空單，大量的買入推高了價格。

最先是火幣BTC季度合約在28日17:00~19:00中短時掛起7筆，共計2333.19萬美元大額委托買單并成交，買入均價9211美元。成交后，價格開始拉升。

20:50~22:50，OKEx BTC季度合約短時掛起25筆，共計6284.92萬美元的大額委托買單并成交，買入均價9494.9美元。

05:15，BitMEX XBT永續合約市價主力市價買入1000萬美元，買入價格9445.5美元，滑點41，價格向上插針至9523美元。不久后價格再度拉升至最高9629美元。

結合AI秒級持倉量分析，以上大部分買單成交后，持倉量均下降明顯，可判斷大部分均為買入平空單。

可見，大量主力恐慌性的平空買入推高了價格。[2020/5/29]

1）判斷A用戶賬戶余額是否有足夠的錢；2）是否是A用戶發起的轉賬

流程如下圖

正常合約兌換

就是我們平時使用pancakeswap、uniswap等兌換時候的流程

案例二：通過swap進行token兌換A用戶進行token兌換流程合約進行判斷：

1）A用戶賬戶余額是否有足夠的BUSD，

2）swap合約取A賬戶下的500BUSD放入swap的合約池中

3）成功后合約再向A賬戶轉入1BNB

注意第2、3點，是由合約控制token進行操作。那么也就是說合約可以繞過我們直接發起對我們賬號下的token的操作。

釣魚合約

先看這張溯源圖

正常的轉賬，轉賬方和合約執行的轉賬方應該是同一個人，即上圖與應該是由同一個人發起的。而我被轉賬的這筆交易，這兩個不是同一個地址。推測應該是由一個可以執行釣魚合約的錢包地址控制執行了合約，然后將我授權給釣魚合約里的BUSD轉走了。

去查看釣魚合約，不出意料釣魚合約是一個加密的合約。不過想一下也不難，稍微學過Solidity的人都知道，在合約定義的時候，多設置幾個Admin或者Owner就可以了。

所以以后一定要注意項目方的背書，不要隨便給不知道的項目授權！！！

安全建議

因為這件事，小C搜了一些有用的建議和方法，也看到了很多血淋淋的教訓。

這里列出來一些方法大家可以根據自己的需要選擇。

1）不要共用密鑰

之前看有帖子說一個助記詞生成多個賬號的，這種我不建議哈，因為很可能被一鍋端。

2）密鑰離線保存

因為現在有很多剪貼板工具輸入法會將你的剪貼板記錄上傳到云端，如果你直接復制了，如果云端泄漏，你的密鑰就直接無了。

我的建議就是生成之后，第一時間抄到本子上。當然抄到本子上，你也可以參考我對密鑰自己的字典加密，比如a用1代替，b用2代替，1用a代替，這樣就可以保證即使有人看到了你的紙質密鑰，也不能動你的數字資產。

3）開發和測試分開

安裝2個瀏覽器，一個可以是chrome，一個是brave。一個管理你的主錢包。另外一個可以參與領取空投，各種鏈上操作等

4）不要下載來歷不明的軟件

不要去用baidu這些下載來歷不明的軟件，我看到有案例是下載盜版metamask，直接破產的。一定要去正規的地址下載，有條件的可以參考googleplay。chromewebstore等

5）立即檢查你的授權

檢查的網址有下面幾個，debank沒有開源，但是UI交互比較好，后續的有開源的，大家自己抉擇吧。

https://debank.com/

https://approved.zone/

https://tac.dappstar.io/

https://ethallowance.com/

看到圖上所示，基本上就是無限的。

每次喚起MetaMask的時候一定要多看看授權，不要像我現在這樣無腦點授權下一步。

6）進行授權前，對合約安全進行確認

https://www.slowmist.com/service-smart-contract-security-audit.html

可以使用慢霧的合約審計功能。

也可以看看該合約是否開源，如果開源的話需要確認該合約是否是可升級合約等等。

7）擼空投和福利的時候注意安全

用小號去領取，別用大號，授權的時候可以設置額度！！！

8）警惕社工的入侵，小心Discord私聊你的陌生人

比如Discord或者Telegram，有人跟你認識幾天，說要帶你賺錢拿空投，讓你安裝他發給你的軟件并登錄，這種99.99%你會血本無歸。賬號被盜。

特別地，Discord里面，進NFT的官方Discord，會有人私聊你，告訴你獲得了白名單，附帶一個mint鏈接。騙子會把頭像和名稱改成官方的樣子，其實是把他和你拉了一個組來實現的。

其實只要不貪，這種騙局還蠻好識破的，一般會告訴你在幾個小時內mint，數量1-10。很多大熱項目一個白名單mint一兩個不錯了，這一上來頂格10個還帶時間限制。

還有，會有騙子模仿項目官網做個假網站，私信給項目Server里的人，讓他們來mint.

還有小伙伴在opensea買了假NFT后來發現不是官方的然后過了幾天那個NFT就從賬戶消失了然而已經扣了...（怎么發現的？看鏈條還有官方discord發了官方Opensea網址)

還有假的collab.land騙錢包密碼，給大v空投然后號稱大v買了那個NFT/token.

新的一年到來，大家一定要注意安全呀，希望看到本文的朋友都能平平安安順順利利！

本文感謝作者Chris

Tags：USDPROAPPTOKENUSD CoinProtoReality Games中幣交易所app官網下載最新版本安卓假imtoken錢包詐騙

歐易交易所app下載