最近, 比特派钱包因扫码行为导致资产被盗的事例屡屡出现, 经过剖析知道, 这不是根源于技术上的缺陷, 而是属于典型的社交工程方面的攻击。许多用户存有错误的理解, 认为只要自身不主动去泄露助记词就肯定安全, 可是却忽视了二维码背后隐藏着的风险。一旦手机扫描了恶意生成的二维码这种情况, 那就等同于把钱包的控制权轻易地交付给了旁人。
这种实施进攻的方式具备着相当强烈的隐匿特性, 遭受损害的人往往是在把款项转出去的行为完成之后, 才发觉到存在着不同寻常的状况, 然而在这个时候要想将被盗窃掉的资产追回来, 所面临的困难程度极为巨大。
为什么扫码会导致资产被盗
一串经过编码处理后的URL地址, 这便是二维码的本质, 当比特派钱包扫描该码时, 自动开展解析工作, 提取其中包含的交易信息, 黑客借助伪造收款人地址或者篡改金额等手段, 诱导用户在全然不知情的状况下签署交易, 私钥始终未曾离开本地设备, 然而授权签名却已被恶意脚本劫持。众多钓鱼网站, 运用仿真的UI界面, 致使, 用户误以为是正常的充值流程, 也误以为是正常的兑换流程, 实际上, 后台早已悄然发起了提币指令。
钓鱼网站精心设计, 利用和正规平台类似的界面去迷惑用户, 在看似正常的操作流程里, 隐蔽真实的提币指令, 用户一旦进入此类网站并按引导操作, 便会不知不觉触发提币指令,致使资产损失, 私钥在本地设备安全环境保存, 却因恶意脚本劫持, 让交易授权有风险, 黑客借此非法获取用户资产, 给用户造成极大安全隐患。
进而更具危险性的是, 存在部分恶意二维码, 其会触发浏览器自动填充功能, 或者诱导下载含有木马的APP。一旦安装之后, 恶意软件能够读取剪贴板内容, 进而替换掉用户复制的正确钱包地址。而在比特派这类支持多链的钱包当中, 跨链桥接功能的扫码入口常常被黑产盯上, 攻击者凭借时间差以及视觉盲区, 顺利完成资金转移。
如何防范扫码带来的资金损失
切断信任链条作为预防此类风险的核心所在, 不能盲目信任来源不明的二维码。当进行大额转账或者交互之前, 必须核对收款地址的前后六位字符, 这属于最基础验证手段。建议开启比特派内部的“地址白名单”功能, 只允许历史交易过的地址去进行快速操作, 以此减少手动输入错误和遭受被篡改的风险。
按照固定周期去详细、仔细地查看钱包授权记录, 慎重、认真地去辨别并且将那些已然不再被使用或者存有可疑状况的DApp连接权限给撤销掉。对于源自社交媒体的那些号称“空投”、“福利”的二维码, 始终都要把它们统统当作高危对象来看待, 绝对不可以有丝毫的疏忽大意。
倘若察觉到账户显现出异常状况, 那就得毫不犹豫马上切断网络, 快速把剩余资产转移到全新生成的冷钱包里头, 并且不折不扣对旧钱包数据予以重置。需清楚安全意识比任何技术手段都更具重要性, 只要时刻保持警觉, 方可切实守护住数字财富。