揭露假安全專家的行騙過程
作者：Liz&Reborn背景
昨天，一位用戶聯(lián)系到慢霧安全團(tuán)隊(duì)，詢問如何取消簽名，并附帶了一張截圖，顯示其錢包地址存在風(fēng)險授權(quán)。
該用戶表示，自己錢包中有一項(xiàng)授權(quán)始終無法撤銷，點(diǎn)擊多次均無反應(yīng)，錢包界面也顯示了風(fēng)險提示。他又回憶起多年前曾為某Tokens的Swap操作授權(quán)過一次，因此感覺此次風(fēng)險提示并非空穴來風(fēng)。披著安全外衣的*騙*局
慢霧安全團(tuán)隊(duì)使用區(qū)塊瀏覽器及 Revoke進(jìn)行排查，卻并未發(fā)現(xiàn)截圖中地址的風(fēng)險授權(quán)記錄。不久后，用戶又發(fā)來另一張截圖，顯示其在某工具中查詢出的結(jié)果。經(jīng)對比，兩張截圖中的地址并不一致。我們隨即建議用戶將該工具的鏈接與相關(guān)地址一并提供。此時，用戶也開始疑惑：難道自己兩個地址都有風(fēng)險授權(quán)？
我們隨即對該工具 SignatureChecker(http://signature[.]land)進(jìn)行分析，一打開便看到，該工具竟然支持用戶輸入私鑰來查詢。本來沒有風(fēng)險的地址，在這個網(wǎng)頁輸入了私鑰，也得有風(fēng)險了。
值得注意的是，這個釣魚網(wǎng)站的頁面設(shè)計(jì)和 Revoke的界面風(fēng)格、Logo極為相似，容易讓用戶誤以為是正規(guī)授權(quán)撤銷平臺，從而降低警惕，增加上當(dāng)受騙的風(fēng)險。下圖為Revoke的官網(wǎng)界面：
我們用騙子提供的工具查詢用戶的兩個地址，發(fā)現(xiàn)確實(shí)有風(fēng)險授權(quán)的記錄。不過，黑暗森林里的準(zhǔn)則之一是保持懷疑，持續(xù)驗(yàn)證。我們接著測試，發(fā)現(xiàn)隨機(jī)貼入地址，該工具都會顯示地址有風(fēng)險授權(quán)，而且授權(quán)時間與查詢時間非常臨近，這種設(shè)計(jì)既給了用戶希望，還營造了緊迫感：現(xiàn)在趕緊取消應(yīng)該沒事。
我們隨后輸入測試用的私鑰進(jìn)行查詢，發(fā)現(xiàn)頁面彈出“格式錯誤”的提示，但是仍然會傳輸我們輸入的信息。
這是發(fā)送到 EmailJSAPI的請求接口，可以發(fā)現(xiàn)用戶輸入的地址或者私鑰信息會通過該接口發(fā)送到騙子的郵箱(abpulimali@gmail[.]com)。
騙子還提供了所謂的“操作教程”，引導(dǎo)用戶將私鑰粘貼進(jìn)釣魚網(wǎng)站的輸入框，以“取消與惡意合約的交互”為由行騙，甚至還提供了語音指導(dǎo)服務(wù)，全方位催促用戶上鉤。
用戶在察覺異樣后并未配合，不過騙子沒有放棄，為了進(jìn)一步施壓并取信于人，騙子建議用戶去咨詢慢霧安全團(tuán)隊(duì)。一些警惕性不高的用戶，聽到對方愿意請安全公司驗(yàn)證，可能會因此放松警惕，誤以為對方不是騙子。而騙子則往往賭定用戶不會真的去核實(shí)，甚至在行騙過程中直接 @SlowMist_Team，試圖利用安全公司為自己背書。
幸運(yùn)的是，這位用戶足夠警惕，并未按對方引導(dǎo)輸入私鑰，而是主動聯(lián)系了慢霧安全團(tuán)隊(duì)核實(shí)情況，最終確認(rèn)這是一場*騙*局，成功避免了資產(chǎn)損失。
我們進(jìn)一步調(diào)查發(fā)現(xiàn)，騙子在 Telegram上盜用了知名鏈上偵探ZachXBT的頭像。
由于用戶沒有繼續(xù)配合，騙子隨后又冒充慢霧員工，繼續(xù)嘗試聯(lián)系和行騙。
查看騙子的 X賬號(@Titanspace3)，該賬號擁有7.4萬粉絲，注冊于2021年，但直到2024年才開始活躍。賬號內(nèi)容以轉(zhuǎn)發(fā)安全研究員、安全公司和媒體動態(tài)為主，自稱專注Blockchain安全領(lǐng)域，明顯是買來的賬號。這類賬號買賣在灰產(chǎn)中很常見，相關(guān)內(nèi)容我們此前已有分析，見真假項(xiàng)目方|警惕評論區(qū)高仿號釣魚。
結(jié)合其早期推文語言風(fēng)格與用戶提供的線索，推測該騙子可能來自印尼。
目前，該賬號仍活躍在 X平臺，不斷以“善意提醒”的名義留言，引導(dǎo)Web3用戶點(diǎn)擊釣魚鏈接，并誘導(dǎo)他們泄露私鑰。Web3反詐騙平臺ScamSniffer已經(jīng)將該網(wǎng)站標(biāo)記為惡意。
寫在最后
從偽造“授權(quán)風(fēng)險”頁面，到冒充安全公司員工，一步步引導(dǎo)用戶泄露私鑰，這類*騙*局的手法正變得愈發(fā)精細(xì)。騙子認(rèn)為只要自己包裝得夠?qū)I(yè)，大多數(shù)人就不會去深究驗(yàn)證，反而會被他們制造的“緊迫感”牽著走。
對此，我們特別提醒廣大用戶，務(wù)必警惕打著安全旗號行不軌之事的人。在Blockchain這片黑暗森林中，唯有保持零信任態(tài)度與持續(xù)驗(yàn)證意識，才能守住資產(chǎn)安全的最后一道防線。無論對方自稱是誰，無論對方聲稱情況多緊急，請務(wù)必保持冷靜，通過官方渠道進(jìn)行驗(yàn)證，切勿因一時慌亂而交出私鑰或助記詞。慢霧安全團(tuán)隊(duì)也將持續(xù)披露此類案例，幫助用戶識別風(fēng)險、提高警惕，共同守護(hù)Web3世界的安全底線。