揭露假安全專家的行騙過(guò)程
作者：Liz&Reborn背景
昨天，一位用戶聯(lián)系到慢霧安全團(tuán)隊(duì)，詢問(wèn)如何取消簽名，并附帶了一張截圖，顯示其錢包地址存在風(fēng)險(xiǎn)授權(quán)。
該用戶表示，自己錢包中有一項(xiàng)授權(quán)始終無(wú)法撤銷，點(diǎn)擊多次均無(wú)反應(yīng)，錢包界面也顯示了風(fēng)險(xiǎn)提示。他又回憶起多年前曾為某Tokens的Swap操作授權(quán)過(guò)一次，因此感覺此次風(fēng)險(xiǎn)提示并非空穴來(lái)風(fēng)。披著安全外衣的*騙*局
慢霧安全團(tuán)隊(duì)使用區(qū)塊瀏覽器及 Revoke進(jìn)行排查，卻并未發(fā)現(xiàn)截圖中地址的風(fēng)險(xiǎn)授權(quán)記錄。不久后，用戶又發(fā)來(lái)另一張截圖，顯示其在某工具中查詢出的結(jié)果。經(jīng)對(duì)比，兩張截圖中的地址并不一致。我們隨即建議用戶將該工具的鏈接與相關(guān)地址一并提供。此時(shí)，用戶也開始疑惑：難道自己兩個(gè)地址都有風(fēng)險(xiǎn)授權(quán)？
我們隨即對(duì)該工具 SignatureChecker(http://signature[.]land)進(jìn)行分析，一打開便看到，該工具竟然支持用戶輸入私鑰來(lái)查詢。本來(lái)沒(méi)有風(fēng)險(xiǎn)的地址，在這個(gè)網(wǎng)頁(yè)輸入了私鑰，也得有風(fēng)險(xiǎn)了。
值得注意的是，這個(gè)釣魚網(wǎng)站的頁(yè)面設(shè)計(jì)和 Revoke的界面風(fēng)格、Logo極為相似，容易讓用戶誤以為是正規(guī)授權(quán)撤銷平臺(tái)，從而降低警惕，增加上當(dāng)受騙的風(fēng)險(xiǎn)。下圖為Revoke的官網(wǎng)界面：
我們用騙子提供的工具查詢用戶的兩個(gè)地址，發(fā)現(xiàn)確實(shí)有風(fēng)險(xiǎn)授權(quán)的記錄。不過(guò)，黑暗森林里的準(zhǔn)則之一是保持懷疑，持續(xù)驗(yàn)證。我們接著測(cè)試，發(fā)現(xiàn)隨機(jī)貼入地址，該工具都會(huì)顯示地址有風(fēng)險(xiǎn)授權(quán)，而且授權(quán)時(shí)間與查詢時(shí)間非常臨近，這種設(shè)計(jì)既給了用戶希望，還營(yíng)造了緊迫感：現(xiàn)在趕緊取消應(yīng)該沒(méi)事。
我們隨后輸入測(cè)試用的私鑰進(jìn)行查詢，發(fā)現(xiàn)頁(yè)面彈出“格式錯(cuò)誤”的提示，但是仍然會(huì)傳輸我們輸入的信息。
這是發(fā)送到 EmailJSAPI的請(qǐng)求接口，可以發(fā)現(xiàn)用戶輸入的地址或者私鑰信息會(huì)通過(guò)該接口發(fā)送到騙子的郵箱(abpulimali@gmail[.]com)。
騙子還提供了所謂的“操作教程”，引導(dǎo)用戶將私鑰粘貼進(jìn)釣魚網(wǎng)站的輸入框，以“取消與惡意合約的交互”為由行騙，甚至還提供了語(yǔ)音指導(dǎo)服務(wù)，全方位催促用戶上鉤。
用戶在察覺異樣后并未配合，不過(guò)騙子沒(méi)有放棄，為了進(jìn)一步施壓并取信于人，騙子建議用戶去咨詢慢霧安全團(tuán)隊(duì)。一些警惕性不高的用戶，聽到對(duì)方愿意請(qǐng)安全公司驗(yàn)證，可能會(huì)因此放松警惕，誤以為對(duì)方不是騙子。而騙子則往往賭定用戶不會(huì)真的去核實(shí)，甚至在行騙過(guò)程中直接 @SlowMist_Team，試圖利用安全公司為自己背書。
幸運(yùn)的是，這位用戶足夠警惕，并未按對(duì)方引導(dǎo)輸入私鑰，而是主動(dòng)聯(lián)系了慢霧安全團(tuán)隊(duì)核實(shí)情況，最終確認(rèn)這是一場(chǎng)*騙*局，成功避免了資產(chǎn)損失。
我們進(jìn)一步調(diào)查發(fā)現(xiàn)，騙子在 Telegram上盜用了知名鏈上偵探ZachXBT的頭像。
由于用戶沒(méi)有繼續(xù)配合，騙子隨后又冒充慢霧員工，繼續(xù)嘗試聯(lián)系和行騙。
查看騙子的 X賬號(hào)(@Titanspace3)，該賬號(hào)擁有7.4萬(wàn)粉絲，注冊(cè)于2021年，但直到2024年才開始活躍。賬號(hào)內(nèi)容以轉(zhuǎn)發(fā)安全研究員、安全公司和媒體動(dòng)態(tài)為主，自稱專注Blockchain安全領(lǐng)域，明顯是買來(lái)的賬號(hào)。這類賬號(hào)買賣在灰產(chǎn)中很常見，相關(guān)內(nèi)容我們此前已有分析，見真假項(xiàng)目方|警惕評(píng)論區(qū)高仿號(hào)釣魚。
結(jié)合其早期推文語(yǔ)言風(fēng)格與用戶提供的線索，推測(cè)該騙子可能來(lái)自印尼。
目前，該賬號(hào)仍活躍在 X平臺(tái)，不斷以“善意提醒”的名義留言，引導(dǎo)Web3用戶點(diǎn)擊釣魚鏈接，并誘導(dǎo)他們泄露私鑰。Web3反詐騙平臺(tái)ScamSniffer已經(jīng)將該網(wǎng)站標(biāo)記為惡意。
寫在最后
從偽造“授權(quán)風(fēng)險(xiǎn)”頁(yè)面，到冒充安全公司員工，一步步引導(dǎo)用戶泄露私鑰，這類*騙*局的手法正變得愈發(fā)精細(xì)。騙子認(rèn)為只要自己包裝得夠?qū)I(yè)，大多數(shù)人就不會(huì)去深究驗(yàn)證，反而會(huì)被他們制造的“緊迫感”牽著走。
對(duì)此，我們特別提醒廣大用戶，務(wù)必警惕打著安全旗號(hào)行不軌之事的人。在Blockchain這片黑暗森林中，唯有保持零信任態(tài)度與持續(xù)驗(yàn)證意識(shí)，才能守住資產(chǎn)安全的最后一道防線。無(wú)論對(duì)方自稱是誰(shuí)，無(wú)論對(duì)方聲稱情況多緊急，請(qǐng)務(wù)必保持冷靜，通過(guò)官方渠道進(jìn)行驗(yàn)證，切勿因一時(shí)慌亂而交出私鑰或助記詞。慢霧安全團(tuán)隊(duì)也將持續(xù)披露此類案例，幫助用戶識(shí)別風(fēng)險(xiǎn)、提高警惕，共同守護(hù)Web3世界的安全底線。