NFT:黑客開始瞄準 NFT 這份 NFT 防盜入門指南請收好_ONE

原文標題：《NFT 防盜指南：如何保護資產安全？》

隨著 NFT 用戶數、交易量和市值的不斷攀升，釣魚者、黑客等不法分子也開始瞄準這個市場，進一步威脅 NFT 生態的安全。

區塊鏈安全和數據分析公司 PeckShield 編寫的表格顯示，在一次釣魚攻擊中，254 個總價值約為 170 萬美元的 NFT 遭到盜竊；愚人節當天周杰倫的 NFT BAYC#3738 被盜走，該事件是典型的由釣魚網站誘導 mint 從而獲得用戶 NFT 操作權的案例；一個名為 MoonManNFT 的項目，該項目借由 free mint 的名頭，盜走了近 400 個 NFT……

一般來說，黑客會通過 Discord 和 Telegram 鎖定收藏者，并通過誘導 mint、釣魚攻擊等方式盜走用戶的 NFT 資產。隨著當下技術發展，NFT 投資者和收藏者必須及時了解保護資產的最新方法。

請牢記：

你的 NFT 并非儲存在電腦或移動設備上，而是在 IPFS 或 Arweave 這樣的去中心化空間。

擁有私鑰，就有了對區塊鏈 / 你的資產的完全訪問權限。

Shamir 私鑰分割方案能為助記詞提供二級保護。

朝鮮黑客組織BlueNoroff冒充日本風投和銀行竊取數百萬美元加密貨幣:12月28日消息，國際信息安全軟件提供商卡巴斯基實驗室表示，朝鮮黑客組織“BlueNoroff”在創建70多個虛假域名并冒充銀行和風險投資公司后竊取了數百萬美元的加密貨幣。根據調查，大多數域名模仿日本風險投資公司，表明BlueNoroff對該國用戶和公司數據的濃厚興趣。

直到幾個月前，BlueNoroff組織還使用Word文檔注入惡意軟件。然而，他們最近改進了他們的技術，創建了一個新的Windows批處理文件，允許他們擴展惡意軟件的范圍和執行模式。（Cryptopotato）[2022/12/28 22:12:29]

1. 你的 NFT 儲存在哪里？

NFT 并非儲存在冷錢包、PC 端或熱錢包中。NFT 是位于以太坊區塊鏈上的代幣，由全球 2400 多個運行中的網絡節點承載。NFT 受到完全去中心化系統的支持，它能確保 NFT 生態正常運轉，也能夠驗證線上交易。當你進行 NFT 交易時，實際發生的活動是數據庫對該 NFT 的地址進行更改。

2. 你的圖片、動圖和音樂在哪里？

NFT 的 URI（統一資源標識符）標記了圖片的位置。NFT 一般位于像 IPFS 或 Arweave 等去中心化存儲空間。在 Web2 中，也有 AWS 這樣的中心化存儲器。

Immunefi：今年第一季度DeFi黑客攻擊總額超12億美元:金色財經報道，根據DeFi漏洞賞金平臺Immunefi的數據，與去年第一季度相比，針對去中心化金融協議的黑客攻擊增加了近八倍。僅在今年第一季度，就有超過12.2億美元被確定為被盜或因新興協議而被盜用。Immunefi季度加密貨幣損失報告的研究顯示，與2021年同期約1.546億美元的被盜資金相比，這增加了7.9倍。根據咨詢公司Cyber??securityVentures的數據，到2022年，整個網絡犯罪將給全世界造成約6.9萬億美元的損失。因此，即使DeFi在年底前凈利用35億美元，也將占全球網絡犯罪總量的0.05%。（blockworks）[2022/7/14 2:13:37]

3. 錢包

錢包是一個儲存私鑰的軟件，能夠支持交易活動。錢包分為兩種：熱錢包（軟件錢包）和冷錢包（硬件錢包）。

熱錢包（軟件錢包）：能夠在通用設備上運行的軟件，能 Web3 連接，只需點擊鼠標就能接收資產。

冷錢包（硬件錢包）：專用于硬件設備，能與 Web3 連接并接收資產。它與熱錢包的主要區別是，冷錢包的助記詞從不聯網，若要進行交易，必須通過物理手段（比如觸摸屏）批準。

選擇了合適的錢包后，你需要了解它的功能：

阿根廷政府拒絕向攻擊移民局的黑客支付400萬美元比特幣贖金:黑客近期攻擊了阿根廷的移民系統，要求阿根廷政府支付價值400萬美元的比特幣贖金，導致跨境移民活動暫時癱瘓。但阿根廷政府拒絕與黑客談判，也不會支付贖金。據當地媒體Infobae報道，官員們表示，網絡犯罪分子“沒有攻擊移民局的關鍵基礎設施”，也沒有竊取任何敏感信息，無論是個人的還是公司的。此前消息，根據阿根廷網絡犯罪機構公布的一份刑事起訴書，阿根廷國家移民局在8月27日遭到了勒索軟件攻擊后，隨后暫停過境四個小時。據稱，黑客通過利用加密病NetWalker進入數據庫并從聯邦機構竊取信息。勒索軟件說明中鏈接的暗網支付頁面顯示，黑客最初支付價值200萬美元的比特幣來解鎖文件，在一周之內，這個數字已增加到355 BTC（按當前匯率計算約400萬美元）。此前報道稱，NetWalker勒索軟件已從受害者手中勒索2500萬美元的比特幣。[2020/9/9]

首先，熱錢包 / 冷錢包會要求你創建一個密碼，此密碼在特定設備上是唯一的。只有知道密碼，才能訪問錢包。

你可以自由分享錢包的公共地址，此地址與 Web3 的電子郵件地址沒有區別，知道了你的地址，任何人都能向你發送 NFT。這也就催生了新的黑客攻擊載體。黑客會向人們發送 NFT，當人們與該 NFT 互動時（比如將其發送至另一錢包，或出售它），黑客就會竊取此人錢包中的資產。請謹記，不要點開陌生 NFT！此外，人們也會利用流氓簽名或批準來獲取你的 IP 地址。

動態 | 自稱黑客的推特用戶聲稱將公布更多幣安KYC信息:8月16日，名為Bnatov Platon的Twitter賬戶發推稱公布了一份據稱掌握在其手中的Binance KYC信息概要，推文的附帶評論為“熱身”（Warming up）。 Bnatov隨后又發布了多張據稱是與幣安安全團隊成員的Telegram聊天截圖。截圖透露出的一個信息顯示，黑客似乎試圖以一個包含新KYC數據的地址為幌子，引導對方訪問一個危險的網站地址。（Cointelegraph）[2019/8/16]

釣魚郵件也是尋常的詐騙方式。郵件的目的是引誘你把錢包連接到虛假網站，以便黑客竊取資產。所以，千萬不要點開陌生鏈接！務必時時檢查網站名稱。目前黑客攻擊的方法比較單一，只能從公共地址和電子郵件下手，只要不理會它們就可以了。

你要保管好私鑰，它是訪問你的公共地址的密碼，私鑰的功能有：

（1）將你的 NFT 移出地址。

（2）簽署合同，來證明你擁有該地址的私鑰（類似于驗證你擁有該公共地址）。

公共地址和私鑰最大的區別是，你永遠也不能向任何人透露自己的私鑰。否則，他們就能把你的私鑰導入他們的錢包，竊取你所有的資產。

明確了私鑰和公共地址的概念，我們再來看一下助記詞。助記詞一般由 12、18 或 24 個單詞構成，用于找回錢包。如果丟失私鑰，你可以使用助記詞新建一個。與私鑰一樣，助記詞永遠不能被第二個人知道，也不能存儲在電子存儲設備或服務商中（比如 google drive、icloud、相簿、手機便簽和副本）。最理想的方式是物理存儲，比如寫在紙上。有人也使用鐵制品存儲助記詞，因為它更加防火。其他方式，例如口令，也能增加錢包安全性。口令是一串符號或單詞，將其與助記詞結合，就能在原有錢包的基礎上創建新錢包。打個比方，若要在原有錢包的基礎上創建新的錢包，只需輸入：

分析 | 美國電信運營商Verizon安全報告：黑客更傾向于使用加密貨幣進行資金轉移:美國電信運營商Verizon最近公布了一份數據泄露調查報告（DBIR），報告顯示，2019年國家支持的黑客攻擊事件有所增加，黑客攻擊占據了數據泄露事件的23％。該報告同時表明，因為可以以相對較低的成本對資金進行清洗和轉移，而風險可以忽略不計，所以黑客往往更傾向于使用比特幣或其他加密貨幣清洗被盜資金或要求支付贖金。[2019/5/9]

助記詞 + 「NFTGo」

助記詞 + 任意數字

助記詞 + 任意字母

助記詞 + 任意短語

上述任一方式都能創建一個具有不同私鑰公共地址的新錢包，但口令這一功能只對冷錢包適用。

4. 添加第二層保護

購買冷錢包是提升安全性的有效途徑。Trezor，Ledger 和 Keystone 是幾款最受歡迎的硬件錢包，但各自有優勢和不足。每種冷錢包都有其特色。比如 Keystone 使用二維碼進行數據傳輸，避免了木馬病通過 USB 接口或者藍牙被傳輸到硬件錢包的風險，同時也是首個支持 ENS (Ethereum Name Service) 的硬件錢包，免去了核對原始地址的麻煩。此外，用戶可以用 NFT 自定義其 4 英寸的屏幕。

我們以 Keystone 為例進行設置。

（1）從官方網站購買 Keystone 錢包。

（2）安裝 Keystone 套件。

（3）啟動 Keystone。

（4）設置你錢包的 PIN—— 專屬于此設備的口令。

（5）如果是企業使用的話，推薦使用 Shamir 私鑰分割方案，把 2 組助記詞分成 3 組，或把 3 組助記詞分成 5 組，你可以把這 3 組私鑰保存在不同地方。如果你有 5 個 Shamir 備份中的 3 個并且丟失了其中 2 個，你仍然可以使用剩余的 3 個備份來恢復您的錢包。

我們以轉移一個 BAYC 為例具體來看 NFT 硬件錢包的使用。在 Keystone 中，用戶可以使用 microSD 卡中上傳的 ABI 數據文件快速確認地址的真實性，地址旁邊會出現藍色字體的「Board Ape Yacht club」，還需要確認該交易是否涉及任何惡意行為，以免將您的 NFT 簽署給詐騙者或黑客。

1. 務必從官網下載 Web3 app 或錢包

導致加密 / NFT 黑客攻擊的主要原因是用戶對非官方網站的訪問。絕大多數此類網站是為了行騙而建立，看上去與官方網站極其相似。不要從 Google Play 下載 Web3 app，它們可能不是從原始渠道獲取的。你可以參考以下建議，來鑒別官方網站：

（1）關注網址欄。只點擊以 https:// 開頭的網址（不要點 http://！），「s」代表「安全」，表示該網站的數據是加密傳輸的，能阻止黑客攻擊。

（2）檢查域名。黑客最青睞的伎倆就是創建山寨網站，其域名與正版網站十分相似，只有雙擊才能察覺區別。例如，https://wobble.com 這個網站的山寨版可以是 https://w0oble.com。請記得時時雙擊域名的所有字母。

（3）留心拼寫錯誤。多數虛假網站是粗糙趕工而成，拼寫、讀音、大小寫和語法都會出錯。

2. 只瀏覽官方頻道、官方推特和官方鏈接

前面提到，你只能相信官方網站、推特賬號和 discord。你可以參考下列建議來驗證：

（1）檢查賬戶活動。

（2）檢查粉絲數。

（3）檢查賬戶歷史。

（4）檢查評論和參與度。

3. 不要與任何人共享登陸憑證或私鑰

有句話在加密圈十分流行：「無鑰即無幣，幣鑰為一體」。一旦你的私鑰或助記詞被分享出去，這個賬戶就再也不屬于你了。最好的做法，是不讓其他人拿到私鑰。

4. 先驗證 NFT 再購買

在 NFT 生態系統中，盡職調查總是非常重要。購買或鑄造 NFT 之前，務必要檢查項目涉及到的團隊的聲譽，其社區中的有機互動，以及人們對該項目的看法。

5. 使用多個錢包鑄造 NFT

比如，Burner 錢包是專為 NFT 鑄造創造的二級錢包。這些錢包都是以鑄幣所需的 gas 數額來創建并注資。鑄幣完成后，鑄成的 NFT 被發送到另一個錢包，它的作用是存儲 NFT。這就減少了主錢包與易被攻擊網站互動的風險。你可以創建多個 burner 錢包，一旦發現漏洞，就立即丟棄它。

6. 謹慎點擊陌生賬戶的鏈接

黑客的常見騙術，是通過陌生的 Discord 賬戶或冷郵件發送贈品或白名單鏈接。務必將 Telegram、Discord 和郵件設置為不接收陌生賬戶或非官方地址的消息，也請提防用戶假扮群主或官方 DM 你。

7. 檢查令牌批準 & 撤銷不使用的令牌

人們每天都與不同的協議和鏈接互動，基于智能合約上的信息給予其訪問權限和許可。時常審查和撤銷訪問權限十分重要。https://revoke.cash/ 網站可以幫您取消訪問權。

8. 進行下一步之前，仔細閱讀并核實智能合約的交易條款

確認交易前，務必確保自己認真閱讀了智能合約中的每個細節。很多黑客利用智能合約騙取許可，從而隨意訪問你錢包中的資金。你要認真閱讀，確保合約中的細節不會構成威脅，也不是存在漏洞。

9. 緊跟新聞，了解新漏洞

人們對 NFT 市場的興趣日益增加，不法分子也潛伏其中，利用伎倆從收藏者和投資者手中偷取作品和資金，請確保自己的寶貴資產、錢包和資金不落入黑客手中。

Tags：NFTTONKEYSONENFTNDRSTONKS幣Keys Tokenppt插件onekeytools安裝教程

FTX