「高價」空投設盜幣陷阱 授權操作需謹慎_EPE

作者：凱爾

編輯：文刀

自從Uniswap、1inch、dydx等DeFi協議給交互用戶發放空投獎勵以來，鏈上用戶們已經習慣了空投的存在，但一些來歷不明的空投，可能會掏空用戶的錢包。

9月10日，投資者阿飛遭遇了一起空投騙局。他發現錢包中出現了75萬枚Zepe代幣，錢包顯示估值超過10萬美元。阿飛以為是天降橫財，當發現在去中心化交易所無法賣出后，他登陸代幣同名網址并進行了授權交易，但隨后他地址中的資產被轉移一空。

社交網絡中，還有多名用戶自曝落入了同一陷阱，有人因此損失高達7萬枚USDT。蜂巢財經查詢Zepe合約接受代幣的地址發現，其于近日轉出了16.5萬枚USDC以及13枚BNB，疑似贓款轉移。

實際上，近期類似的空投騙局頻發，許多用戶都發現錢包地址中出現了大量的不明代幣。區塊鏈安全機構PeckShield告訴蜂巢財經，這些代幣在常用的DEX中交易通常都會失敗，頁面會提示用戶去它的官網兌換，而后用戶在授權交易時，往往會授予智能合約轉走賬戶資產的權限，導致資產被盜。

富達高管：對加密貨幣持謹慎態度但可為大客戶提供服務:金色財經報道，富達的一位高管周三對《金融新聞》表示，他們對放棄任何新的加密產品持謹慎態度，并將“謹慎行事”。富達國際歐洲區董事總經理Christian Staub表示，我們不是在敲桌子告訴大家買比特幣。但如果大客戶想要買入，我們現在可以提供。

富達公司曾經涉足過加密貨幣，這家資產管理公司在2021年12月推出了加拿大比特幣現貨ETF，在2022年2月為歐洲機構推出了實物比特幣ETP。

此前2022年4月報道稱，富達將允許與之合作的2.3萬名雇主在其401k投資組合中提供數字資產賬戶。它允許員工通過工作投資比特幣，并于2022年秋季推出。[2023/5/18 15:09:53]

PeckShield提示，用戶在進行鏈上協議交互時不要過度授權，同時應定期對不常用的Dapp取消授權，并注意防范欺詐者「換馬甲」，以避免遭受資產損失。

英國法律集團：數字資產的清晰度將提升數字證券領域的領導地位:金色財經報道，由LawtechUK 小組成立的英國管轄權特別工作組(?UKJT) 發布了一份關于數字資產清晰度的聲明，這將鞏固英國作為數字證券數字金融市場領導者的地位。據該集團稱，隨著數字化轉型成為許多在金融市場運營的機構的首要任務，數字證券，或基于區塊鏈或分布式賬本技術的股權或債務證券的發行和轉讓變得越來越重要。該組織表示，根據英國法律進行數字安全交易具有明顯的商業利益。

該組織指出，英國法律排除了支持新資產類別或金融結構的法定干預的必要性，并且它為尋求適合靈活商業環境的可靠且適應性強的法律框架的市場參與者提供了確定性和信心。雖然數字證券仍然只占市場的一小部分，但大多數觀察家預計這種情況會發生變化，并且對于這一金融部門在國內和全球蓬勃發展而言，法律明確性至關重要。由于英國以其頂級金融科技中心而自豪，因此采用明確的方法來處理數字證券。[2023/3/9 12:50:49]

多用戶遭遇Zepe空投騙局?錢包被掏空

谷歌Chrome瀏覽器發現VenomSoftX惡意擴展，用于竊取加密貨幣和敏感信息:11月22日消息，谷歌Chrome瀏覽器近日發現了一款名為“VenomSoftX”的惡意擴展程序，可以用于竊取用戶的加密貨幣和敏感數據。該擴展程序通過Windows版ViperSoftX惡意軟件安裝，是基于JavaScript的RAT（遠程訪問木馬）和加密貨幣劫持者。

通過分析ViperSoftX和VenomSoftX樣本中硬編碼的錢包地址，Avast發現到2022年11月8日，這兩者總共為其黑客賺取了約13萬美元。這種被盜的加密貨幣是通過轉移被攻擊設備上嘗試的加密貨幣交易獲得的，不包括平行活動的利潤。(IT 之家)[2022/11/22 7:54:43]

9月8日，去中心化衍生品協議dYdX給早期用戶發放的空投開啟申領，隨著DYDX代幣漲至10美元上方，空投所有者們都獲得了可觀的收益。就在dYdX帶來的財富效應在社交網絡發酵時，一個以空投作餌的陷阱也悄然設下。

數字藏品國際周指數大幅下降29.9點至1.4點:金色財經報道，據同伴客數據顯示，上周（2022年11月07日-11月13日）數字藏品國際周指數下降29.9點至1.4點，國內周指數上漲17.2點至47.6點，數字藏品綜合價值周指數下降11.0至19.8點。

備注：

· 數字藏品綜合價值指數由同伴客數據與鏈境Labs聯合研發，是對國際及國內當月市場熱度最高的數字藝術品項目市場總銷售規模的綜合反映，以2021年11月份銷售額的30分之7為基數，指數基值為100。

·國內周指數成分之一的幻核于8月16日發布平臺終止運營公告，但銷量已于7月10日后歸零。為遵循去掉某一成分后指數計算結果無變化的原則，該指數使用幻核7/4-7/10的銷售數據進行銷售基數調整，并將新的銷售基數作為8/14后的指數計算基數。[2022/11/15 13:07:47]

兩天后，投資者阿飛在社群中講述了他不幸掉落陷阱的遭遇。9月10日，阿飛打開他的區塊鏈錢包時，意外發現其中多了75萬枚名為Zepe的代幣，錢包顯示這些代幣價值超過10萬美元。

OneCash新增摩根大通為儲備金托管銀行:據官方消息，OneCash宣布新增摩根大通為儲備金托管銀行，為不同國家和地區用戶提供多元化申購贖回法幣通道。

據悉，OneCash是專業的穩定幣發行與運營工廠，提供安全、合規、高效的穩定幣解決方案，目前已發行穩定幣Round Dollar、HKC 、ZAC。OneCash將持續增加不同國家和地區儲備金托管銀行，為用戶提供最佳法幣路由。[2022/7/11 2:04:40]

毫無戒備的阿飛打開了代幣關聯的網站并連接了錢包。據其他用戶描述，該代幣無法在去中心化交易平臺賣出，但代幣關聯網站提供了一個類似Swap的兌換頁面，支持將Zepe.io兌換成BNB。阿飛稱，他鏈接錢包、點了授權交易后，沒有獲得任何代幣的同時，錢包中的數千枚CHESS代幣反而被轉走。發現代幣丟失后，阿飛才意識到陷入騙局。

Zepe.io的虛假兌換頁面

本以為這波空投是一筆意外之財，沒想到錢包卻被掏空了。在社交網絡中，多名用戶也自曝落入了同一個空投陷阱，有人稱被盜資產多達7萬USDT。據統計，此次設局者廣泛撒網，代幣空投到BSC、HECO、Matic等多個區塊鏈網絡上的大量地址中，許多用戶都反映收到了空投。

據區塊鏈安全機構Armors審查發現，該代幣對應合約未做代碼驗證，且所有授權與轉賬事務都執行失敗，而所有執行失敗的備注中都要求用戶到對應網站進行提取，一旦用戶登陸網站進行錢包授權，代幣就會被盜。

蜂巢財經通過區塊鏈瀏覽器查詢設局者接收代幣的地址發現，其于近日轉出了16.5萬枚USDC以及13枚BNB，疑似贓款轉移。

實際上，近期出現的空投騙局不止一起。許多投資者都曾反映區塊鏈錢包中出現大量來歷不明的代幣，這些代幣的普遍特征是數目龐大，引人注目。如果用戶在嘗試賣出代幣過程中授權合約，就可能給予發幣方轉移錢包資金的權限，進而損失資產。

而設局者在得手后，往往會選擇在去中心化交易所混幣，并轉移到其他地址進行套現。受騙者在遭遇類似的騙局后，往往難以追回資金。

空投騙局不斷演化?用戶需謹慎授權合約

由于區塊鏈是一個公開、透明的網絡，所有用戶的錢包地址雖然匿名，但完全公開在網絡上，任何人都可以向其中發送代幣。一般來說，接收代幣并不會導致錢包被盜，而如果用戶想要賣出該代幣，就可能在其中某一步因授權資產轉移權限或暴露私鑰而被作惡者掏空錢包。

事實上，類似騙局早在2019年就曾出現。當時，在Telegram流行過一個空投OMG代幣的騙術，騙子稱錢包中有ETH和OMG的用戶，可以按照錢包余額中ETH1:32、OMG1:0.3的比例領取OMG免費空投，許多人動了心。

當用戶按照提示的步驟打開空投領取網站時，頁面要求用戶輸入以太坊錢包地址和余額，這一步操作并不會導致資產被盜。但隨后，頁面會提示用戶輸入以太坊錢包的私鑰，以便證明這個錢包歸本人所有。頁面還提示，「這是安全的，我們不會使用、存儲或收集您的個人數據，沒有人能夠訪問你的錢包。」結果，許多人在輸入了私鑰后，錢包里的資產很快被轉移一空。很顯然，這是一個徹頭徹尾的騙局。

虛假空投網站要求用戶輸入私鑰

如今，隨著DeFi的發展，越來越多用戶開始使用鏈上錢包，想要自己保管資產。老玩家已經知道「私鑰暴露意味著不再擁有錢包的唯一控制權」的常識，因此，要求用戶輸入私鑰的騙局已不再常見。然而，作惡者并沒有消失，反而升級演化出多種騙術，讓新老用戶們防不勝防。

不久前，有部分用戶遭遇了虛假錢包騙局。騙子首先會仿照用戶常見的錢包制作一個偽去中心化的錢包，當用戶下載并導入私鑰后，就會泄露私鑰信息。還有人在社群以高價收幣為誘餌誘惑用戶轉賬，當用戶掃描其提供的錢包二維碼時，會跳轉至第三方網站，如果在該網站中發起轉賬并授權，就會導致賬戶被盜。

在多起地址資金被盜事件發生后，不少用戶都已經有了防范意識，通常不會泄露私鑰，在下載區塊鏈錢包及交易所時，也會到官網進行下載。但由于新用戶一批批進入區塊鏈，他們往往欠缺基礎技術知識，對代碼合約不甚了解，在參與DeFi項目或想要賣出空投代幣時，往往會授權陌生合約，如果作惡者在合約中做文章，用戶極可能損失地址中的所有資產。

那么，騙子是如何通過合約轉移用戶資產的？

區塊鏈安全機構PeckShield告訴蜂巢財經，代幣授權操作主要分為兩步。第一步是授權交易，這一步操作是為了告知ERC-20Token合約，將來目標合約地址可能會從授權錢包賬戶轉走一定數量的代幣；第二步是交易執行，當目標合約中的邏輯執行需要進行該代幣交易時，合約會主動觸發轉走用戶授權的代幣。

以Zepe.io空投騙局為例，詐騙者會先創建代幣并完成空投，并添加代幣到DEX中增加流動性，使代幣具有價值。一些用戶看到賬戶中出現了「有價值」的空投幣后，就想去DEX進行兌換，而這一步的授權交易通常都會失敗，但失敗后會有error提示用戶去它的官網兌換，陷阱就在此時出現，當用戶在指定頁面授權交易后，其賬戶中的價值幣就會被轉走。

PeckShield表示，類似的空投騙局有一個主要的共同特征，即代幣名字大多是網站地址，如ShibaDrop.io、AirStack.net、BNBw.me等，當用戶接收到類似的代幣，就需要加以防范。該安全機構提示，用戶在進行鏈上協議交互時不要過度授權，比如授權代幣交易時可以設置指定數量而不要設置最大數量。同時，用戶應定期對不常用的Dapp取消授權，并注意防范欺詐者「換馬甲」。

對于鏈上用戶來說，區塊鏈網絡是一個相對自由但也充斥風險的世界。用戶需切記掌管好私鑰，避免因貪婪輕易授權陌生合約造成資產損失。記住，「天上不會掉餡餅」這句老話在區塊鏈世界里同樣適用。

Tags：區塊鏈ZEP加密貨幣EPE區塊鏈的未來發展前景數字化研究Zeppelin Dao加密貨幣市場規模分析MINIPEPE

幣安app下載