前言
區塊鏈是個偉大的發明,它帶來了某些生產關系的變革,讓「信任」這種寶貴的東西得以部分解決。但,現實是殘酷的,人們對區塊鏈的理解會存在許多誤區。這些誤區導致了壞人輕易鉆了空子,頻繁將黑手伸進了人們的錢包,造成了大量的資金損失。這早已是黑暗森林。
基于此,慢霧科技創始人余弦傾力輸出——區塊鏈黑暗森林自救手冊。
本手冊大概3萬7千字,由于篇幅限制,這里僅羅列手冊中的關鍵目錄結構,也算是一種導讀。完整內容可見:
https://github.com/slowmist/Blockchain-dark-forest-selfguard-handbook
我們選擇GitHub平臺作為本手冊的首要發布位置是因為:方便協同及看到歷史更新記錄。你可以Watch、Fork及Star,當然我們更希望你能參與貢獻。
好,導讀開始...
引子
如果你持有加密貨幣或對這個世界有興趣,未來可能會持有加密貨幣,那么這本手冊值得你反復閱讀并謹慎實踐。本手冊的閱讀需要一定的知識背景,希望初學者不必恐懼這些知識壁壘,因為其中大量是可以“玩”出來的。
在區塊鏈黑暗森林世界里,首先牢記下面這兩大安全法則:
零信任:簡單來說就是保持懷疑,而且是始終保持懷疑。
Velodrome將于未來六個月向社區分發400萬枚OP:11月19日消息,Optimism鏈上DEX Velodrome發推稱,將于未來六個月向社區分發400萬枚OP,以推動整個Optimism生態的發展速度。
據悉,該激勵計劃被命名為Tour de OP,預計將于11月24日啟動。[2022/11/19 22:07:05]
持續驗證:你要相信,你就必須有能力去驗證你懷疑的點,并把這種能力養成習慣。
關鍵內容
一、創建錢包
Download1.?找到正確的官網
?a.Google
?b.行業知名收錄,如CoinMarketCap
?c.多問一些比較信任的人
2.?下載安裝應用
??a.?PC?錢包:建議做下是否篡改的校驗工作
?b.瀏覽器擴展錢包:注意目標擴展下載頁面里的用戶數及評分情況
?c.移動端錢包:判斷方式類似擴展錢包
?d.硬件錢包:從官網源頭的引導下購買,留意是否存在被異動手腳的情況
?e.網頁錢包:不建議使用這種在線的錢包
MnemonicPhrase創建錢包時,助記詞的出現是非常敏感的,請留意你身邊沒有人、攝像頭等一切可以導致偷窺發生的情況。同時留意下助記詞是不是足夠隨機出現
愛奇藝《中國說唱巔峰對決》推出數字POAP徽章:金色財經報道,愛奇藝王牌音樂綜藝節目《中國說唱巔峰對決》聯手ARCC平臺推出限量版數字徽章POAP。本次愛奇藝發行的12款POAP徽章通過ARCC數字徽章平臺鑄造,分別對應《中國說唱巔峰對決》的12期節目,觀眾需要在觀看節目時尋找隱藏彩蛋,從而收集碎片,合成當期POAP徽章。[2022/7/22 2:31:29]
Keyless1.Keyless兩大場景
?a.?Custody,即托管方式。比如中心化交易所、錢包,用戶只需注冊賬號,并不擁有私鑰,安全完全依托于這些中心化平臺
?b.Non-Custodial,即非托管方式。用戶唯一掌握類似私鑰的權力,但卻不是直接的加密貨幣私鑰
2.?MPC為主的Keyless方案的優缺點
二、備份錢包
助記詞/私鑰類型1.明文:12個英文單詞為主
2.帶密碼:助記詞帶上密碼后會得到不一樣的種子,這個種子就是之后拿來派生出一系列私鑰、公鑰及對應地址
3.多簽:可以理解為目標資金需要多個人簽名授權才可以使用,多簽很靈活,可以設置審批策略
4.Shamir'sSecretSharing:Shamir秘密共享方案,作用就是將種子分割為多個分片,恢復錢包時,需要使用指定數量的分片才能恢復
質押平臺Freeway已恢復FWT充提服務:7月17日消息,質押平臺Freeway發推稱,Freeway平臺已經恢復FWT充值和提現功能。FWT購買功能暫時被禁用,但應該很快就會恢復。平臺上FWT價格仍然鎖定在0.008美元。
據此前報道,Freeway發推稱,其代幣FWT價格在7月13日發生劇烈波動,正在調查當中。Freeway的區塊鏈橋接服務提供商Coffe遭到攻擊,大量FWT代幣從Coffe的橋接錢包中移除,隨后被出售。Freeway確認其平臺沒有受到任何損害,Supercharger也不受影響。但在調查期間,Freeway暫時禁用平臺上的FWT充值、提現和購買服務。[2022/7/17 2:18:50]
Encryption1.多處備份
?a.Cloud:Google/Apple/微軟,結合GPG/1Password等
?b.Paper:將助記詞抄寫在紙卡片上
?c.Device:電腦/iPad/iPhone/移動硬盤/U盤等
?d.Brain:注意腦記風險
2.?加密
??a.?一定要做到定期不定期地驗證
?b.?采用部分驗證也可以
?c.?注意驗證過程的機密性及安全性
三、使用錢包
美聯儲博斯蒂克:如果經濟走勢與2%的通脹目標一致,“我們將停止(加息)”:7月15日,美聯儲博斯蒂克表示,如果經濟走勢與2%的通脹目標一致,“我們將停止(加息)”,如果不一致,我們則不會停止。如果美聯儲“把牌打好”,通脹可以在未來18個月內相對較快地降至2%。基本預期仍然是我們可以實現相對軟著陸。(金十)[2022/7/16 2:17:03]
AML1.鏈上凍結
2.?選擇口碑好的平臺、個人等作為你的交易對手
ColdWallet1.?冷錢包使用方法
?a.接收加密貨幣:配合觀察錢包,如imToken、TrustWallet等
?b.發送加密貨幣:QRCode/USB/Bluetooth
2.冷錢包風險點
?a.所見即所簽這種用戶交互安全機制缺失
?b.?用戶的有關知識背景缺失
Hot?Wallet1.與?DApp交互
2.?惡意代碼或后門作惡方式
?a.錢包運行時,惡意代碼將相關助記詞直接打包上傳到黑客控制的服務端里
?b.錢包運行時,當用戶發起轉賬,在錢包后臺偷偷替換目標地址及金額等信息,此時用戶很難察覺
?c.破壞助記詞生成有關的隨機數熵值,讓這些助記詞比較容易被破解
Dope Ape Club第一個BAYC持有者正式授權的NFT即將發行:7月3日消息,Dope Ape Club將成為第一個BAYC持有者通過Sigroll正式授權發行的NFT。Sigroll為第一個P2P鏈上授權平臺,通過平臺可直接對接藍籌NFT持有者,獲得藍籌NFT版權授權,而藍籌NFT持有者將獲得相應的授權費。Dope Ape: BAYC #1769號在太空旅行中發現了新的星球,以及星球上10000只獨特著裝與造型的猴子。Dope Ape Club項目將于近期發售,發行方式為免費領取,除了生成必要的Gas費用外,無須支付其他費用。Sigroll是首個專注于做NFT IP授權與版權分發的平臺,通過P2P的鏈上授權為NFT持有者賦能其資產在Collection之外的商業化應用場景。通過Sigroll,NFT持有者、授權使用者以及社區能夠更高效的匹配需求,進而完成輕量級的IP授權合作。同時,Sigroll也將幫助合作雙方管理其授權費用與分成等事宜。[2022/7/3 1:47:40]
DeFi安全到底是什么1.智能合約安全
??a.權限過大:增加時間鎖/將admin多簽等
?b.?逐步學會閱讀安全審計報告
2.區塊鏈基礎安全:共識賬本安全/虛擬機安全等
3.前端安全
??a.內部作惡:前端頁面里的目標智能合約地址被替換/植入授權釣魚腳本
?b.第三方作惡:供應鏈作惡/前端頁面引入的第三方遠程JavaScript文件作惡或被黑
4.通信安全
??a.?HTTPS安全
?b.舉例:MyEtherWallet安全事件
?c.安全解決方案:HSTS
5.人性安全:如項目方內部作惡
6.金融安全:幣價、年化收益等
7.合規安全
??a.AML/KYC/制裁地區限制/證券風險有關的內容等
??b.?AOPP
NFT安全1.?Metadata?安全
2.簽名安全
小心簽名/反常識簽名1.?所見即所簽
2.?OpenSea?數起知名NFT被盜事件
?a.用戶在OpenSea授權了NFT
?b.黑客釣魚拿到用戶的相關簽名
3.?取消授權
??a.?TokenApprovals
?b.?Revoke.cash
?c.?APPROVED.zone
?d.?Rabby擴展錢包
4.?反常識真實案例
一些高級攻擊方式1.針對性釣魚
2.廣撒網釣魚
3.?結合XSS、CSRF、ReverseProxy等技巧
四、傳統隱私保護
操作系統1.重視系統安全更新,有安全更新就立即行動
2.?不亂下程序
3.?設置好磁盤加密保護
手機1.?重視系統的安全更新及下載
2.?不要越獄、Root破解,除非你玩安全研究,否則沒必要
3.?不要從非官方市場下載App
4.官方的云同步使用的前提:賬號安全方面你確信沒問題
網絡1.網絡方面,盡量選擇安全的,比如不亂連陌生Wi-Fi
2.選擇口碑好的路由器、運營商,切勿貪圖小便宜,并祈禱路由器、運營商層面不會有高級作惡行為出現
瀏覽器1.?及時更新
2.?擴展如無必要就不安裝
3.?瀏覽器可以多個共存
4.使用隱私保護的知名擴展
密碼管理器1.?別忘記你的主密碼
2.?確保你的郵箱安全
3.?1Password/Bitwarden等
雙因素認證GoogleAuthenticator/MicrosoftAuthenticator等
科學上網科學上網、安全上網
郵箱1.安全且知名:Gmail/Outlook/QQ郵箱等
2.隱私性:ProtonMail/Tutanota
SIM卡1.?SIM卡攻擊
2.?防御建議
?a.啟用知名的2FA工具
?b.?設置PIN碼
GPG1.區分
?a.PGP是PrettyGoodPrivacy的縮寫,是商用加密軟件,發布30?多年了,現在在賽門鐵克麾下
?b.OpenPGP是一種加密標準,衍生自PGP
?c.GPG,全稱GnuPG,基于OpenPGP標準的開源加密軟件
隔離環境1.?具備零信任安全法則思維
2.?良好的隔離習慣
3.?隱私不是拿來保護的,隱私是拿來控制的
五、人性安全
TelegramDiscord來自“官方”的釣魚Web3隱私問題
六、區塊鏈作惡方式
盜幣、惡意挖礦、勒索病、暗網交易、木馬的C2中轉、洗錢、資金盤、等SlowMistHacked區塊鏈被黑檔案庫
七、被盜了怎么辦
止損第一保護好現場分析原因追蹤溯源結案
八、誤區
CodeIsLawNotYourKeys,NotYourCoinsInBlockchainWeTrust密碼學安全就是安全被黑很丟人立即更新
總結
當你閱讀完本手冊后,一定需要實踐起來、熟練起來、舉一反三。如果之后你有自己的發現或經驗,希望你也能貢獻出來。如果你覺得敏感,可以適當脫敏,匿名也行。其次,致謝安全與隱私有關的立法與執法在全球范圍內的成熟;各代當之無愧的密碼學家、工程師、正義黑客及一切參與創造讓這個世界更好的人們的努力,其中一位是中本聰。最后,感謝貢獻者們,這個列表會持續更新,有任何的想法,希望你聯系我們。
導讀到此,完整版本,歡迎閱讀并分享:)
https://github.com/slowmist/Blockchain-dark-forest-selfguard-handbook
作者:RichardLee,鏈捕手 首發時間|3月26日 上線一周多后,跨鏈橋協議Stargate總鎖倉量今日中午正式突破30億美元大關.
1900/1/1 0:00:00撰文:GeorgiosKonstantopoulos,Paradigm研究合伙人 編譯:Amber 簡介 零知識密碼學是計算機科學領域在近50年間最引人注目的創新之一.
1900/1/1 0:00:004月26日,YugaLabs新推出的元宇宙項目Otherside發推表示,Otherside鑄造將采用荷蘭式拍賣方式,僅使用ApeCoin來支付.
1900/1/1 0:00:002022年,區塊鏈行業迎來新的發展時期,但各類安全風險也在不斷升級。成都鏈安新推出的《安全研究季報》欄目,將為大家盤點每季度全球區塊鏈安全態勢.
1900/1/1 0:00:00文章來源|?Nansen:NFTIndexesQuarterlyReport-Q12022 翻譯|Bite 摘要 2021年12月底,Nansen首次將NFT研究概念化.
1900/1/1 0:00:00Covington&BurlingLLP律師建議保險業如何應對虛擬世界中的商業肯定會產生的獨特風險.
1900/1/1 0:00:00