洗劫數百萬美元 警惕Web3.0獨有釣魚攻擊升級版：Ice Phishing

在衆多欺詐類別中，釣魚攻擊是欺詐者們最常使用的方式之一。

然而，在Web3.0領域，不止有着釣魚攻擊，還有一種會對社區產生重大威脅的「Ice Phishing」攻擊。

2022年早些時候，微軟首次於blog中闡述了該類攻擊的具體形式——騙子無需騙取用戶的私鑰以及助記詞，而是直接誘使用戶批准將資產轉移到騙子錢包的操作。

截至目前，Ice Phishing已經造成了Web3.0領域數百萬美元的資產損失。

什么是Ice Phishing？

Ice Phishing是一種Web3.0世界獨有的攻擊類型，用戶被誘騙籤署權限，允許欺詐者直接消費用戶账戶內的資產。

這與傳統的網絡釣魚攻擊不同，後者作為一種社會工程攻擊手段，通常用於竊取用戶數據，包括登錄憑證和錢包或資產信息，如私人鑰匙或密碼。

Ice Phishing相較於此，對Web3.0用戶具備更大的威脅——與DeFi協議的互動需要用戶授予權限，欺詐者只需要讓用戶相信他們所批准的惡意地址是合法的。一旦用戶批准欺詐者花費其資產，那么账戶就有可能被盜。

鏈上Ice Phishing

Ice Phishing攻擊的第一階段往往是：受害者被騙，批准EOA或惡意合約來花費受害者錢包中的資產。

下圖中的交易可作為示例：

來源：Etherescan

下一階段則是釣魚地址發起TransferFrom交易，該交易將資產從受害者轉移到欺詐者選擇的地址。在下圖的例子中，USDT被轉移到0x9ca3b...

來源：Etherescan

我們可以看到，欺詐者（0x4632）啓動了受害者和接收者之間的交易。這裏需要強調的是，收款人地址不一定是對你進行詐騙的錢包，而是發起交易的錢包。欺詐者往往將用戶的資金發送到他們控制的第二個EOA。從下圖的交易流程中可以看出：

來源：CertiK

如果你在錢包裏看到可疑的交易，就需要檢查一下發起的EOA是否被授予了花費你資產的權限。你可以在Etherscan或Debank等掃描系統上自行檢查。

來源：Etherescan

如果你看到一個你不認識的地址，或者一個未經你批准就啓動交易的地址，那么請立即撤銷權限（可以通過訪問revoke.cash等網站或將你的錢包連接到掃描系統來撤銷）。

如何通過掃描網站（如Etherscan）撤銷權限？

1. 訪問https://etherscan.io/tokenapprovalchecker並搜索錢包

2. 連接錢包

3. 點擊ERC-20、ERC-721或ERC-1155標籤，找到你想撤銷的地址。

4. 點擊撤銷按鈕

如何辨認Ice Phishing？

用戶判定自己是否落入Ice Phishing陷阱的第一個辨認信號就是查看他們正在使用的URL或DApp。

惡意網站會山寨合法項目的頁面，或者假冒合法機構的合作方。

比如我們經常會看到一些詐騙網站掛着與CertiK的合作關系或是上傳山寨的CertiK審計報告。

下方是衆多假冒礦池事件的其中一例，它違法使用了CertiK的logo與其它正規機構的相關標志。

來源：CertiK調查團隊

如果在這個網站上籤署批准，就會允許一個惡意的EOA從你的錢包中無限制花費USDT——這基本上意味着你擁有的所有USDT都處於風險之中。

來源：MetaMask

通過登錄certik.com來查驗，你會發現本例中的上述網站並非CertiK的合作夥伴。如果你有相關需求，可以通過點擊CertiK官網上的“Report an Incident”與CertiK的事件響應團隊聯系。

用戶可以在certik.com上提交惡意合約的報告

一些鏈上檢查是用戶可以通過自己DYOR（Do Your Own Research）來進行的，比如將的DApp或URL上呈現的地址通過掃描網站（如Etherscan）來查看其是否有可疑活動。

在下方的例子中，我們在EOA 0x13a...5dE49上檢測到疑似Ice Phishing的活動，並發現它是由Tornado.Cash提款資助的。

來源：Etherescan

在進一步調查後，我們發現0x13a…5dE49將Pulse社區作為目標，其主要社區成員已警告了用戶Ice Phishing的危險性。

來源：推特

通過調查一些受害者的錢包和社交媒體上的投訴發文，我們發現了一個假的Maximus DAO推特頁面，這很可能與Ice Phishing錢包有關。

如何保護自己？

防止自己成為Ice Phishing受害者的最簡單方法就是訪問可信的網站以驗證信息真實性，如Coinmarketcap.com、coingecko.com和certik.com。

許多Ice Phishing的騙局可以在社交媒體（如推特）上找到，比如一些欺詐項目會僞造成合法項目並宣傳空投之類的虛假活動。

在下圖示例中，我們可以看到一個假的Optimism推特账戶在宣傳一個釣魚網站（在CoinMarketCap或Coinecko上簡單的查找就會找到真正的官方網站）。

來源：@CertiKAlert

請花點時間來驗證你正在互動的URL或DApp是否合法。如果不確定，可以通過訪問可信的來源進行雙重檢查。

寫在最後

釣魚網站是我們在Web3.0領域看到最常見的詐騙類型之一，用戶有時甚至無法意識到他們已經落入陷阱，因為他們沒有給出任何敏感信息。

因此除了你靠自己進行一番鏈上檢查以外，也需要花費更多的時間來仔細檢查互動的URL是否經過可信來源的驗證——這些花費的時間總有一天給你回報。

鄭重聲明：本文版權歸原作者所有，轉載文章僅為傳播信息之目的，不構成任何投資建議，如有侵權行為，請第一時間聯絡我們修改或刪除，多謝。