從一個錢包被盜的案例 探討Web3的安全指南_FFF

道路千萬條，安全第一條：

1）不要共用密鑰 2）密鑰離線保存

3）開發和測試分開（空投和主賬號隔離）

4）不要下載來歷不明的軟件 5）立即檢查授權

6）進行授權前，對合約安全進行確認

7）擼空投和福利的時候注意安全 

8）警惕Discord來路不明的人和軟件

注: 本號不推銷任何意義上的商業產品，不提供任何投資建議，不接任何PR需求。本文不構成任何投資上的建議。

作者 | Chris 阿法兔

事件

*本文2700字左右，閱讀時間10-20分鐘

2022年元旦假期的某個早上，小C準備寫代碼，繼續測試web3js的鏈上合約交易。突然發現自己的測試賬號（bsc鏈 ）在metamask歸零了，明明前一晚賬戶內還有100USD，然后查完轉賬就發現：

錢都沒了，錢哪去了？？

背景

技術出身的小C，最近在學習區塊鏈開發。本身是專業開發者，已經很謹慎小心了，通常都是在測試網絡上跑，跑完之后，再會去正式網絡上部署，但是沒有意識到整個產業目前還處在相對混亂的階段，麻痹大意，順手習慣導致造成了損失。

觀點：FedNow或為美國CBDC所需的基礎設施奠定基礎:金色財經報道，Bianco Research總裁Jim Bianco表示，雖然美聯儲否認其新的即時支付服務FedNow與數字資產領域有任何聯系，但新系統可以為美國潛在的CBDC所需的基礎設施奠定基礎。Jim Bianco認為，這是一個支付系統，不是數字代幣或 CBDC，但它可以用來促進 CBDC 的創建。CoinRoutes 首席執行官兼聯合創始人Dave Weisberger表示，如果FedNow確實成為一個可編程的CBDC，那么從理論上講，它可以用來阻止政府不喜歡的項目，或者將那些對政府當局構成潛在威脅的參與者從金融系統中剔除。[2023/7/22 15:51:48]

損失是如何造成的？

2021年的最后一天，小C偶然看到一個賬號很有趣（這個賬號有很多活躍的交易），就追蹤了他的一些鏈上交易，然后看到了一個非常有意思的項目（有很高的年化收益率），然后就鬼使神差地連上了自己的Metamask，然后鬼使神差的進行了approve，因為一般Web3的項目就是這個流程，approve然后轉賬就結束了。

但是令人驚呆的一幕出現了：點完之后，整個網站突然卡死了（其實在卡死這段時間，盜取者就把錢轉走了），沒有任何反應，小C當時沒當回事，把站點給關了，去做其他事情了。

新火科技旗下MPC自托管平臺Sinohope推出Start-up扶持計劃，BeWater首批加入合作:據官方消息，Web3開發者社區BeWater近日宣布，該平臺組織的Web3創新大賽獲獎項目將入選新火科技旗下MPC自托管平臺Sinohope新推出的Start-up扶持計劃。獲獎項目將享有Sinohope提供的每月價值數千美金的企業級服務定制，Sinohope還將為獲獎項目開放使用企業級MPC錢包、自動化 AML&KYT 流程、全鏈協議和幣種訪問、定制化功能開發等多項服務。

作為新火科技新近推出的重點產品，Sinohope致力于為每個機構打造專屬的數字資產自托管平臺。Sinohope通過采用MPC-CMP技術支持用戶分布式管理私鑰分片與協同簽名解決私鑰單點風險，有效增加透明性和易用性。近期，為進一步助力早期項目發展，Sinohope推出Start-up扶持計劃，面向萬千開發者和早期項目提供專屬服務，入選扶持計劃的項目將享受新火科技提供的一系列扶持政策。[2023/6/14 21:35:53]

過了大概一天，小C重新回來開發的時候，發現賬上的錢全部沒有了，去查了歷史記錄，發現賬上的余額已經被全部轉走。

盜取者是怎么把小C賬戶上的錢都轉走的？

現象：只要你approve了，不需要私鑰理論上也可以把對應的錢全部轉走。

Web3信用協議Getaverse獲得YBB Foundation融資:據官方消息，Web3信用協議Getaverse獲得YBB Foundation融資，具體融資金額暫未披露。此次融資將繼續用于擴展DID平臺、開發信用風險管理系統和AI組件、提升用戶體驗等。

據官方介紹，Getaverse是一個創新可成長的DID信用協議，用戶的DID身份信息、信用評分、互動行為等數據都與協議緊密相連，從技術層面真正實現用戶DID身份的多鏈共享。YBB基金會由一群自2013年以來一直積極參與這個行業的區塊鏈信仰者創立，始終致力于幫助早期創新項目從0到1的發展。YBB的聯合創始人在全球營銷/生態系統網絡方面擁有豐富的資源和技能，曾為Polka、Algorand、Tezos、NEAR等項目服務。[2023/5/15 15:03:08]

小C進行了下溯源，大概是在一個釣魚網站的approve出了問題，于是追溯該轉賬記錄。

如圖，可以看到，先是approve（授權）了一個合約，授權了釣魚合約能夠對賬號里面BUSD進行操作，而且是沒有數量限制的。

為什么會是BUSD呢？小C回憶了一下，一進入這個釣魚站點是默認選了busd，估計在瀏覽站點鏈接錢包之后，盜取者就已經篩選了出了賬號里面錢最多的token了。

上海：繼續清理整治虛擬貨幣“挖礦”活動:金色財經報道，據上海市發展和改革委員會4月24日消息，《上海市2023年碳達峰碳中和及節能減排重點工作安排》近日印發。其中提出，開展《上海市資源節約和循環經濟“十四五”發展規劃》中期評估，加強節能降碳執法檢查，堅決遏制高耗能、高排放、低水平項目盲目發展，繼續清理整治虛擬貨幣“挖礦”活動。[2023/4/24 14:24:07]

然后當小C以為這是一個新的swap合約，并且有很高的年化收益，準備先試試的時候，按照常規流程就進行approve。approve結束后，網站直接卡了。

后來經過追溯，大概在授權之后幾十秒，合約就直接觸發了一個轉賬操作，直接把BUSD token給轉走了。

后來去查了一下授權的信息

基本上metamask默認授權的時候是

ffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffff轉換成數字，我們認識的就是 1.157920892373162 乘以 10 的 59 次方。基本上就可以理解為無限量轉賬了，也就是這個授權的操作，可以讓這個合約無限量的操縱我賬號的token。看到這里感覺背后一涼，因為以前點過很多次approve都是不會去看的。

摩根大通：將Coinbase目標價從52美元上調至57美元，但維持中性評級:2月22日消息，周二，摩根大通在一份研究報告中表示，Coinbase（COIN）第四季度調整后每股虧損（EPS）2.46美元，超過摩根大通預計的每股虧損2.85美元，但低于彭博社普遍預期的每股虧損2.17美元。該銀行將Coinbase的目標價從52美元上調至57美元，但維持中性評級。截至發稿時，Coinbase股價在盤前交易中下跌1.5%，至61.16美元。

Kenneth B. Worthington為首的分析師寫道，到目前為止，2023年加密貨幣整體交易量顯著改善，加上2023年第一季度的成本削減略好于預期，Coinbase在當前費用水平下實現了EBITDA（稅息折舊及攤銷前利潤）的顯著同比改善。（CoinDesk）[2023/2/22 12:23:13]

然后黑客操縱一個可以控制這個合約方法的錢包地址，就發起合約轉賬方法，把錢轉走了。所以小伙伴之后點metamask授權的時候一定要小心。

小C查了下，盜取者現在這個賬號里大概已經有了3w美金的token了，現在還有源源不斷的受害者在轉錢。但是面對區塊鏈沒有辦法，根本無法找不到這個黑客是誰。

問題到底出在哪里？

因為最近在學習區塊鏈。小C大概理了一下這個釣魚的邏輯方式，害人之心不可有，防人之心不可無。大家有興趣可以了解一下：

案例一：直接用戶間轉賬 A用戶向B用戶轉賬BUSD

合約正常會檢查以下邏輯

1）判斷A用戶賬戶余額是否有足夠的錢 2）是否是A用戶發起的轉賬

流程如下圖

就是我們平時使用pancakeswap、uniswap等兌換時候的流程

案例二：通過swap進行token兌換 A用戶進行token兌換（BUSD兌換WBNB）流程 合約進行判斷：

1）A用戶賬戶余額是否有足夠的BUSD，（假設已經授權swap合約可以操作A賬戶的BUSDtoken）

2）swap合約取A賬戶下的500BUSD放入swap的合約池中（假設匯率是1:500）

3）成功后合約再向A賬戶轉入1BNB

注意第2）3）點，是由合約控制token進行操作。那么也就是說合約可以繞過我們直接發起對我們賬號下的token的操作。

先看這張溯源圖?

正常的轉賬，轉賬方和合約執行的轉賬方應該是同一個人，即上圖（1）與（2）應該是由同一個人發起的。而我被轉賬的這筆交易，這兩個不是同一個地址。推測應該是由一個可以執行釣魚合約的錢包地址控制執行了合約，然后將我授權給釣魚合約里的BUSD轉走了。

去查看釣魚合約，不出意料釣魚合約是一個加密的合約。不過想一下也不難，稍微學過Solidity的人都知道，在合約定義的時候，多設置幾個Admin或者Owner就可以了。

所以以后一定要注意項目方的背書，不要隨便給不知道的項目授權！！！

因為這件事，小C搜了一些有用的建議和方法，也看到了很多血淋淋的教訓。

這里列出來一些方法大家可以根據自己的需要選擇。

之前看有帖子說一個助記詞生成多個賬號的，這種我不建議哈，因為很可能被一鍋端。

因為現在有很多剪貼板工具輸入法會將你的剪貼板記錄上傳到云端，如果你直接復制了，如果云端泄漏，你的密鑰就直接無了。我的建議就是生成之后，第一時間抄到本子上。當然抄到本子上，你也可以參考我對密鑰自己的字典加密，比如a用1代替，b用2代替，1用a代替，這樣就可以保證即使有人看到了你的紙質密鑰，也不能動你的數字資產。

安裝2個瀏覽器，一個可以是chrome，一個是brave。一個管理你的主錢包。另外一個可以參與領取空投，各種鏈上操作等

不要去用baidu這些下載來歷不明的軟件，我看到有案例是下載盜版metamask，直接破產的。一定要去正規的地址下載，有條件的可以參考google play。chrome web store等

檢查的網址有下面幾個，debank沒有開源，但是UI交互比較好，后續的有開源的，大家自己抉擇吧。

https://debank.com/

https://approved.zone/

https://tac.dappstar.io/

https://ethallowance.com/

看到圖上所示，基本上就是無限的。

每次喚起metamask的時候一定要多看看授權，不要像我現在這樣無腦點授權下一步。

https://www.slowmist.com/service-smart-contract-security-audit.html

可以使用慢霧的合約審計功能。

也可以看看該合約是否開源，如果開源的話需要確認該合約是否是可升級合約等等。

用小號去領取，別用大號，授權的時候可以設置額度！！！

比如discord或者telegram，有人跟你認識幾天，說要帶你賺錢拿空投，讓你安裝他發給你的軟件并登錄，這種99.99%你會血本無歸。賬號被盜。

特別地，Discord里面，進nft的官方discord，會有人私聊你，告訴你獲得了白名單，附帶一個mint鏈接。騙子會把頭像和名稱改成官方的樣子，其實是把他和你拉了一個組來實現的。其實只要不貪，這種騙局還蠻好識破的，一般會告訴你在幾個小時內mint，數量1-10。很多大熱項目一個白名單mint一兩個不錯了，這一上來頂格10個還帶時間限制。

還有，會有騙子模仿項目官網做個假網站，私信給項目Server里的人，讓他們來mint.

還有小伙伴在opensea買了假NFT 后來發現不是官方的 然后過了幾天那個NFT就從賬戶消失了 然而?已經扣了...（怎么發現的？看鏈條 還有官方discord 發了官方Opensea網址 )

還有假的collab.land騙錢包密碼，給大v空投然后號稱大v買了那個nft/token.

新的一年到來，大家一定要注意安全呀，希望看到本文的朋友都能平平安安順順利利！

Tags：FFFUSDKENTOKEfff幣有價值嗎PlutusDAOCYBR TokenEURO TOKEN

瑞波幣