Web3安全：深入揭秘NFT钓鱼流程及防范技巧

钓鱼网站是如何“钓”你的？」
第一种：窃取用户签字
在前两篇文章里，咱们提及过该类钓鱼网站主要是诱惑用户在钓鱼网站签字，假如用户签定了签字，则钓鱼网站能够获得到用户钱包中所有的NFT。实际的签字具体内容如下所示：
上图上白框一显示的是签字要求的网址由来，白框二显示的是要求的签字具体内容，鉴于表明的内容是一串二进制标识符，因此用户实际上不清楚实际签定的是什么服务项目。
假如用户点击了“Sign”按键，则可能受权一些无法预测的服务项目，包含一些风险实际操作，如：受权钓鱼网站有着用户钱包中NFT的转帐管理权限等。
第二种：精仿网站域名和具体内容的NFT钓鱼网站
前边的的文章内容里大家提及过该类钓鱼网站关键分成三类，第一类是仅拆换原官方网站的一级域名，第二类是主网站域名加上英语单词或标记开展搞混，第三类是加上二级域名开展搞混的钓鱼网站。
涉及到到的钓鱼技巧具体可分为三种，第一种是仿冒NFT新项目官方网站诱骗用户立即开展转帐的钓鱼网站，第二种是采用假空投物资诱骗用户受权的钓鱼网站，第三种是诱骗用户键入钱包助记词的钓鱼网站。下边将并对钓鱼技巧开展详解。
1.仿冒官方网站诱惑用户立即转帐
该类钓鱼网站主要是根据仿冒NFT新项目官方网站UI页面，诱骗用户联接钱包以后，点击“mint”按键开展铸币。用户点击以后会向虚报的项目方详细地址转帐，可是并不会接到相应的NFT。实际如图所示：
用户进到到钓鱼网站后，会最先点击相匹配的“connect wallet”按键，联接钱包。以后UI页面会开展更新，发生如下图所示的“mint”按键。一般网页页面上还会继续发生相近“xx用户早已mint了xxNFT”这种波动文章标题，关键是为了刺激性用户赶快点击mint。如图所示：
用户假如点击“Mint”按键以后，一般情况下钓鱼网站为了避免自身的转帐黑详细地址泄漏，会首要检验钱包账户余额是不是为空。假如为空则不容易买卖交易，假如不为空才能弹出来相近MetaMask的狐狸钱包，买卖交易。
2.假空投物资诱骗用户开展NFT受权
该类钓鱼网站主要是运用假空投物资等方式，诱骗用户浏览钓鱼网站。在用户联接钱包后，便会发生“CLAIM NOW”等诱惑用户开展点击的按键，用户点击以后就会对钓鱼网站的黑详细地址开展受权。实际如图所示：
以后得到受权的钓鱼网站会将用户钱包中的NFT所有转出去，实际如图所示：
下边是受害人被窃取的NFT买卖：
3.诱骗用户填好助记词
该类钓鱼网站关键是在网页页面联接钱包处，或是其它部位诱骗用户点击，以后弹出来一个仿冒的网页页面，提醒用户例如“MetaMask外挂版本号必须更新”等信息内容。假如用户坚信并录入了自身的钱包助记词，那样用户的公钥就大会上传入网络攻击网络服务器造成用户钱包失窃。实际如图所示：
该钓鱼网站弹出来如下所示信息内容，提醒用户检验到MetaMask的一个安全隐患，必须用户更新该钱包外挂版本号。假如用户在框中键入助记词，则会造成钱包失窃。
留意，如上图白框场所示，该自动跳转的钓鱼网页页面上网站并不是是正常的网站域名网站，而变成了一串出现异常标值。用户还可以利用比照MetaMask官网网站域名与该网页页面出现异常网站鉴别钓鱼网页页面。
「务必学好的预防方法」
一：预防签字失窃
现阶段大部分网址为了保护用户安全性已经不适用盲签的签字方法，可是假如用户浏览某些网站时依然碰到盲签的状况，请尽可能回绝签定。文中关键探讨下列二种非盲签的情况下，用户如何防范钓鱼。
1.用户签定买卖时必须确定签定的具体内容
以上图所示，用户签定受权时主要是对白框一部分的服务条款开展签字，包含：提醒用户假如点击“Sign”按键则意味着接纳网址的服务条款，这一要求不容易进行买卖或是耗费gas费，而且该受权情况将于24小时后重设等。及其包含签定签字的用户详细地址、Nonce值等。
2.用户在买卖交易签字前，应开展多方面信息内容交叉验证，保证进行买卖的网址是真官方网站。
二：预防精仿网站域名和具体内容的NFT钓鱼网站
先前文章内容大家介绍了三种精仿网站域名和具体内容的NFT钓鱼网站，在其中第三种是立即诱骗用户键入助记词。对于该类网址，用户只需记牢一切规定键入助记词的页面全是不安全的就可以。这篇文章关键详细介绍别的二种钓鱼网站的相应预防措施：
1. 仿冒官方网站诱惑用户立即转帐
这类的钓鱼网站一般网站域名和信息都跟原新项目官方网站十分相似，用户在浏览时需需注意鉴别官方网站。
1）一般在浏览NFT官方网站时，主页一般有官方网社交网络账户，如：twitter、discord等。
现阶段许多NFT官网都不会立即给予“mint”作用，或将大量数目的NFT放进了例如Opensea之类的交易中心上开展出售，如图所示：
与此同时，一般在NFT新项目官方网站底端都是会例举出官方网站社交账号，下面的图白框处从左到右依次是：Discord、twitter、traitsniper、opensea。
用户能够浏览这种社交账号，最先鉴别其账户是不是官方账号，一般立即在twitter上检索项目规划能够发觉官方账号，假如存有同名的的状况那样留意挑选出关心总数较多的是账户，实际如图所示：
上图上表明的第一个白框便是NFT新项目相匹配的官方网站，一切其它的网站全是钓鱼网站；第二个白框是该新项目在别的服务平台上的官方网连接，如：Opensea交易所等；第三个白框是了解的总数，从总数上也能够对官方账号开展挑选，自然也需要当心钓鱼小号，最好开展信息内容交叉验证，确保自身浏览的是官网。
2）假空投物资诱骗用户开展NFT受权
网络攻击一般会根据Discord等社交账号公布假空投物资的钓鱼连接，这一类的钓鱼网站通常无法识别真假，文中明确提出以下几个方面提议期待协助用户减少损失。

a. 财产防护
在开展这种风险买卖时，能够选用财产防护的方法完成，一般包含下列几类种类：
钱包防护：用户可以将钱包依据主要用途分成两大类，第一类用以储存财产，包含一些超大金额财产等，该类财产可以使用冷钱包储存提升安全系数；第二类用以资产交易，特别是在是在开展例如领到空投物资这种风险买卖时，可以使用一些临时性钱包。暂时性的钱包包含：应用MetaMask之类的钱包再次建立一个详细地址里边储存非常少的钱；或一些互联网钱包如：Burner Wallet等，该钱包能通过在页面上简单地设定转帐的主要参数，如：转帐详细地址、额度等，就能够形成一个临时的小额贷款买卖二维码，如图所示：
买卖媒体防护：一般指的是用户在买卖时采用的PC、电脑浏览器等，能够在完成一些很有可能存在的风险买卖时采用不一样的PC，或是应用不一样的浏览器。
b. 应用项目方区块链智能合约开展mint()
前文提及有许多骗术在营销推广完全免费空投物资领到时，“mint”按键事实上开启的是要求用户签字的实际操作，一旦点击可能准许钓鱼网站迁移用户的NFT。因此如果能够明确领到空投物资的合约地址，立即启用区块链智能合约里的mint()方法是更安全的方法，下面的图是某NFT的合同：
以上图所示，最先点击“contract”，以后挑选“Write Contract”页签，下面必须点击“Connect to Web3”按键，联接钱包。如图所示：
然后点击mint()方式，设定mint必须的NFT总数和额度，点击“Write”按键就可以。这类方法因为是立即启用的合同方式，因此不会有被钓鱼网站盗取签字的状况。可是，用户在启用NFT合同时特别注意一样必须交叉验证新项目合同的详细地址，防止被钓鱼合同诱发上当受骗。
c. 确定信息源
假如用户接到领到空投物资的钓鱼网站连接，前提必须确定信息特征，一般能够在官方网twitter等社交账号上确定下是否有公布的空投物资信息。要是没有得话，请不要随便点击别的方式上公布的空投物资连接。

标签：NFT Web Web3 技巧