一周被盗 7.7 亿美元，怎么保护加密钱包？Web3 用户安全指南

传稻士社区：没有好问题，就没有好答案。

为什么为了安全交易而设计的加密网络并不安全？

假如出现了系统漏洞风险，你的钱包中的资产该如何保

如何防止钱包资产被盗走呢？

-----------

2022 年 4 月 1 日，周杰伦在社交媒体上发文称，其持有的无聊猿“BAYC #3738 ” NFT 已被盗，并强调这不是“愚人节玩笑”。这次被盗让周杰伦一共损失了四枚价值不菲的NFT。根据区块链链上数据追踪，这四枚 NFT 已经被攻击者售卖，获利约54万美元。

本周，连续发生了两次大规模盗窃事件。总金额超过 7.7 亿美元。

8 月 2 日，在数个小时内，在跨链桥 Nomad 中，超过 1.9 亿美元的加密货币被盗走。黑客利用了一个智能合约的漏洞，找一笔有效的交易反复发送构造好的交易数据，来抽取跨链桥被锁定的资金。所以，有人说这次攻击普通人也能做到。

Nomad 几天前才刚完成了2240万美元的种子轮融资，将用于创建更安全的跨链桥加密货币生态系统，真是讽刺。

8 月 3 日，Solana 公链上发生大规模盗币的事件。Solana 公链的钱包 Phantom发推称 Phantom 正在遭受⼤规模的攻击。⼤量 Phantom ⽤户在推特上报告⾃⼰的钱包被盗：

在10分钟内，就有超过 600万美元的加密资产从 Phantom 钱包中被盗走。此后的三天内，超过15000多个钱包被盗走了超过5.8亿美元的各种加密资产。

而且，盗窃还没停止，这是一个很恐怖的事情，更恐怖的是到现在为止都没有找到问题的根源。

Solana 公链问世于2017年，由 Solana Labs 的 Anatoly Yakovenko 创建，运⽤了⼀种全新的交易验证⽅法，称为“历史证明(PoH)”。Phantom 是⼀个 Solana 钱包，类似于 MetaMask，可⽤于管理数字资产和访问 Solana 区块链上的去中⼼化应⽤程序。

专家建议采取三个步骤来阻⽌损失：

1、将所有的加密资产转移到硬件钱包中(⽐如 Ledger，Hypermate )，由于硬件钱包是离线的，可以有效的保护资产；

2、如果没有硬件钱包，则将所有的加密资产转移到中⼼化的交易所中( Binance, CoinBase 等)，直到本次攻击调查清楚；

3、打开钱包, 撤销所有app的访问权限 ( revoke access to all trusted apps )。在事件没有调查清楚之前, 隔离你的 Phantom 钱包。

知名区块链安全机构慢雾科技在8月3日表示，问题可能出现在软件供应链上。Solana foundation 提供的数据显示近 60% 被盗用户使用 Phantom 钱包，30% 左右地址使用 Slope 钱包，其余用户使用 Trust Wallet 等，并且 iOS 和 Android 版本的应用都有相应的受害者。

从交易特征上看，攻击者在没有使用攻击合约的情况下，对账号进行签名转账，初步判断是私钥泄露。

全球审计四巨头之一，毕马威会计事务所（KPMG）表示，自2017年以来，由于安全松懈或代码编写不当，黑客至少盗走了98亿美元的数字资产。

有相关统计，自2022年1月1日以来，6个月内容，黑客们从 175 个项目中盗取了 19.7 亿美元。

黑客6个月盗走链上19.7亿美元

这些数字资产被盗或者被骗的案例频出，让很多人对参与 Web3 充满担忧。

关于程序漏洞的问题，以及整个生态系统的安全性问题确实很多。这里就只谈谈钱包的安全性问题。

在热钱包中，其实不存在完全安全，即便是在目前未曾出现过问题的热钱包当中，也不能保证在下次更新，或者就说明完全没有漏洞了。假如一定要用热钱包，就应该找到经过市场验证最长时间，且维权反应最好的热钱包。

从安全性上，顺序是：冷钱包 ＞ 顶级CEX热钱包 ＞ imtoken热钱包 = MetaMask ＞ 其他公链钱包。

具体钱包相关的知识，请参考下列文章：

人们是怎么被盗走钱包资产的呢?

有以下方式：

1 被伪装客服骗取私钥

1. 攻击者伪装为客户潜伏在社群中

2. 当有用户出现转账或者提取收益求助时，攻击者及时联系用户协助其处理

3. 通过耐心的解答，发送伪装的专业工单系统，让用户输入助记词解决其交易异常

4. 攻击者拿到私钥后盗取资产，拉黑用户

2 扫描恶意二维码，执行虚假交易

1. 攻击者将预先准备好的恶意二维码发送给用户；

3. 用户输入小额或者指定金额后，确认转账交易（实际运行的是用户approve授权给攻击者USDT的过程）；

4. 随后用户钱包大量USDT丢失（攻击者调用TransferFrom转走用户USDT）。

3 参与空投活动，领取空投

1. 攻击者伪造成各种交易平台，DeFi，NFT等区块链项目；

2. 攻击者通过媒体社群发起可明显薅羊毛的空投活动；

4. 用户扫码后点击领取空投（其实也是用户approve授权给攻击者USDT的过程）；

5. 随后受害者账户大量USDT被转走（攻击者调用TransferFrom转走用户USDT）

4 把密钥存储到在线云平台，云平台账号被盗

多数人将秘钥/助记词通过截屏、拍照或者拷贝粘贴，然后同步保存在云端，例如通过邮件、QQ、微信、网盘、笔记等进行传输或存储，攻击者会通过攻击这些云端平台账号，盗取私钥/助记词，导致钱包资产被盗。

5 热钱包服务器被攻击

很多区块链应用都会使用到热钱包，热钱包中存有大量数字资产，由于热钱包服务器为进行安全加固，或者运维不当，安全意识缺失，导致热钱包服务器被黑客攻击，导致热钱包中数字资产被盗，甚至通过热钱包服务器作为跳板，攻击其他钱包。这次的Solona钱包被盗事件就是如此。

6 被身边人窃取私钥

日防夜防，家贼难防。被身边熟人无意间窃取钱包私钥/助记词，最终导致资产丢失。

7 网络钓鱼窃取私钥

攻击者通过克隆一个知名区块链项目，通过精心设计成同原始真实项目一模一样的假项目钓鱼网站，对于精心设计的这个钓鱼网站，普通用户无法辨别真假，通过各种渠道发布这些信息，以假乱真，这样即可轻易引诱用户访问钓鱼网站并引导他们输入帐户密码或密钥，盗取用户钱包中数字资产。

8 恶意软件

黑客以某些加密货币资源的名义，将应用程序添加到Google Play商店，或者通过网络钓鱼的方式，欺骗用户下载改应用程序，该应用程序实则为一个恶意软件，当下载、启动该应用程序后，攻击者即可控制受害者电话或者手机，然后允许攻击者窃取帐户凭据，私钥等更多信息，导致钱包被盗。

9 通过公共 Wi-Fi进行攻击

在火车站、机场、酒店等人流量较大的公共区域，Wi-Fi 网络尤其不安全，受害者用户的设备能够连接到与黑客相同的的 Wi-Fi 网络中，甚至黑客会专门搭建一些恶意 Wi-Fi 热点供大家使用，此时，受害者用户通过网络下载或发送的所有信息，在一定情况下，都可被攻击者拦截查看，包括加密货币钱包私钥/助记词等。

被盗案例

1 小白用户用助记词生成私钥被盗

有一个用户小钱发现，钱包里的0.0068个 BTC 不翼而飞了。搜索钱包地址，从链上交易看这笔转账是从3月14日从火币转到钱包，7个小时之后就被转走了。通过2个钱包中转之后，最后再转到火币，应该是卖掉了。

钱是怎么被盗的呢？

小钱说在他bip30站点上进行私钥转化，在站点导入自己的助记词生成私钥。

这是最容易中招的操作，在任何网站任何方式泄露自己的助记词，钱包就不安全了。

2 区块链开发工程师的钱包被盗

技术出身的小 C，最近在学习区块链开发。本身是专业开发者，已经很谨慎小心了，通常都是在测试网络上跑，跑完之后，再会去正式网络上部署。

有一天，小 C 偶然看到一个账号很有趣（这个账号有很多活跃的交易），就追踪了他的一些链上交易，然后看到了一个非常有意思的项目（有很高的年化收益率），然后就连上了自己的 MetaMask，进行了 approve，因为一般 Web3 的项目就是这个流程，approve 然后转账就结束了。

但是令人惊呆的一幕出现了：点完之后，整个网站突然卡死了（其实在卡死这段时间，盗取者就把钱转走了），没有任何反应，小 C 当时没当回事，把站点给关了，去做其他事情了。

过了大概一天，小 C 重新回来开发的时候，发现账上的钱全部没有了，去查了历史记录，发现账上的余额已经被全部转走。

小 C 进行了下溯源，大概是在一个钓鱼网站的 approve 出了问题，于是追溯该转账记录。看到先是 approve（授权）了一个合约，授权了钓鱼合约能够对账号里面 BUSD 进行操作，而且是没有数量限制的。

为什么会是 BUSD 呢？小 C 回忆了一下，一进入这个钓鱼站点是默认选了 BUSD ，估计在浏览站点链接钱包之后，盗取者就已经筛选了出了账号里面钱最多的 token 了。

然后当小 C 以为这是一个新的 swap 合约，并且有很高的年化收益，准备先试试的时候，按照常规流程就进行 approve。approve 结束后，网站直接卡了。

后来经过追溯，大概在授权之后几十秒，合约就直接触发了一个转账操作，直接把 BUSD token 给转走了。

后来去查了一下授权的信息， 发现 MetaMask 默认授权的时候是：

转换成数字，就是 1.157920892373162 乘以 10 的 59 次方。基本上就可以理解为无限量转账了，也就是这个授权的操作，可以让这个合约无限量的操纵账号的 token。

然后黑客操纵一个可以控制这个合约方法的钱包地址，就发起合约转账方法，把钱转走了。

小 C 查了下，盗取者现在这个账号里大概已经有了3万美金的 token 了，现在还有源源不断的受害者在转钱。但是面对区块链没有办法，根本无法找不到这个黑客是谁。

如果密钥被盗了怎么办?

1、 找到备份助记词私钥，尽快重新导入助记词，将资产转移到其他钱包；

2、 确认被丢失的钱包中是否有在抵押或者锁仓的资产，计算好时间，等这部分资产解锁后第一时间转移；

3、 如果被丢失钱包资产已经被转移，使用专业资金监控小程序，进行资金实时监控，第一时间了解资金状况，同时寻求专业人士的帮助。有些运营方可能会进行赔偿。

给钱包新用户的建议

由此可见，由于私钥和匿名的特殊性。数字钱包跟银行账号不同，一旦私钥泄露或者在访问应用的时候签署了不明协议，就会导致被盗，即便知道有问题，都难以冻结账号。凡是被盗的资产，都难以追回。

数字钱包的使用，需要掌握一些基础知识。一定要先去了解其中逻辑，保护好助记词，才有可能避免损失。

下面这些建议，不仅新用户必须知道，老用户也应该再对照着做一次检查。

1）不要用共用的助记词

用一个助记词生成多个钱包地址的，很可能被一锅端。最好是不同的助记词，对应不同的钱包地址。

2）密钥必须离线保存

使用数字钱包一定要记得：保护好钱包助记词。

任何时候，任何方式要求输入助记词的平台都是有问题的，不要在钱包以外的平台输入助记词。

也不要截图保存助记词，因为不少APP 可能读取图片信息，盗走助记词。

不要用有云端存储的笔记，会将你的剪贴板记录上传到云端，如果你直接复制了，如果云端泄漏，你的密钥就直接无了。

建议就是生成之后，第一时间抄到本子上。当然抄到本子上，你也可以参考我对密钥自己的字典加密，比如 a 用 1 代替，b 用 2 代替，1 用 a 代替，这样就可以保证即使有人看到了你的纸质密钥，也不能动你的数字资产。

3）用多个钱包做分隔

需要使用钱包登陆某个项目网页时，最好使用专门的钱包。大资产钱包只用来“存放”各种币，不要做交互，因为一旦在某个陌生站点授权，就可能存在一定的风险。

当然还是要提高钱包使用的基本知识，任何人都可能觊觎你的钱包，只有自己才能对钱包负责。

假如你要做区块链开发，要把开发和测试分开（空投和主账号隔离）

安装 2 个浏览器，一个可以是 chrome，一个是 brave。一个管理你的主钱包。另外一个可以参与领取空投，各种链上操作等

4）不要下载来历不明的软件

不要去下载来历不明的软件（不论是app还是插件浏览器）。一定要去正规的地址下载，有条件的可以参考 google play。chrome web store 等。

有人下载了非官方渠道的 Metamask，直接破产的。

5）立即检查你的钱包中的授权

看到图上所示，基本上就是无限的。

每次唤起 MetaMask 的时候一定要多看看授权，不要无脑点授权下一步。

6）进行授权前，对合约安全进行确认

可以使用慢雾的合约审计功能。

也可以看看该合约是否开源，如果开源的话需要确认该合约是否是可升级合约等等。

7）撸空投和福利的时候注意安全

用小号去领取，别用大号，授权的时候可以设置额度！！！

8）警惕社工的入侵，小心 Discord 私聊你的陌生人

比如 Discord 或者 Telegram，有人跟你认识几天，说要带你赚钱拿空投，让你安装他发给你的软件并登录，这种 99.99% 你会血本无归。账号被盗。

特别地，Discord 里面，进 NFT 的官方 Discord，会有人私聊你，告诉你获得了白名单，附带一个 mint 链接。骗子会把头像和名称改成官方的样子，其实是把他和你拉了一个组来实现的。

其实只要不贪，这种骗局还蛮好识破的，一般会告诉你在几个小时内 mint，数量 1-10。很多大热项目一个白名单 mint 一两个不错了，这一上来顶格 10 个还带时间限制。

还有，会有骗子模仿项目官网做个假网站，私信给项目 Server 里的人，让他们来 mint.

还有小伙伴在 opensea 买了假 NFT 后来发现不是官方的 然后过了几天那个 NFT 就从账户消失了 然而已经扣了...（怎么发现的？看链条 还有官方 discord 发了官方 Opensea 网址 )

还有假的 collab.land 骗钱包密码，给大 v 空投然后号称大 v 买了那个 NFT/token。

总结

区块链的去中心化模式是一把双刃剑，智能合约执行链上的所有交易，一旦你的助记词或私钥被其他人获取，那么任何人都可以操作你的钱包。没有办法冻结资产来保护。

可以把目前的区块链看成是黑暗森林，黑客在区块链上可能无孔不入，在某个环节设置一些陷阱，只要你的钱包不小心进行授权了，盗走钱包余额不费吹灰之力。

链上的去中心化属性，让受害者完全不知道该找谁，不知道危险来自哪里，搞不懂哪个环节操作失误，造成不可挽回的损失。

有些新玩家初入区块链，开始使用数字钱包，但在使用过程中没有先做功课，导致钱包被盗。只要钱包资产被盗，就基本没有找回来的可能性。

所以，掌握区块链钱包的基础知识，是使用钱包的第一步。

传稻士社区：看完了，请你思考以下问题：

1 怎样识别恶意软件，避免被软件要求钱包进行授权？

2 如果要参加某个项目的空投，应该怎样操作比较安全？

3 在Solana公链上的GameFi中的资产（如StepN）会受到影响吗？

关注传DAO士，获得更多Web3有关的知识

本文是《芝麻开门吧，Web3入门10日谈》的主题 6 “数字钱包”文章之五

本系列包括10个主题，请持续关注。

1 加密货币 2 数字钱包 3 区块链 4 NFT 5 DAO

6 Web3 7 GameFi 8 Defi 9 虚拟人10 元宇宙

跟Web3和区块链相关的文章列表

假如你对Web3有兴趣，或需要跟DAO这种组织方式相关的知识，请去“传DAO士”社区索取，一群研究DAO实践DAO的人等着你，点“查看原文”看社区介绍。

欢迎扫码申请加入“传DAO士”社区，提高认知，结交志同DAO合的好友。

长按扫码！加微信

参考：

从钱包被盗总结Web3的安全指南 

https://www.tuoniaox.com/news/p-477773.html

钱包里的0.33个BTC 悄无声息被盗了 

https://www.jinse.com/news/blockchain/1979882.html

Solana钱包大规模被盗，昔日的“以太坊杀手”备受争议 

https://mp.weixin.qq.com/s/Q7Sje0yFtNPngwNRLycHpA

⼀⽂了解Solana phantom 钱包被盗事件来⻰去脉 

https://www.jinse.com/news/blockchain/2041719.html

黑客通过这些方法盗取数字资产：看看你是否中招 

https://www.jinse.com/blockchain/1178399.html