现有盗U套路总结
1.假钱包盗U。在互联网上搭建钓鱼网站,下发带有后门的钱包,可直接窃取用户助记词。
2.授权盗U。利用恶意智能合约,诱导用户进行钱包转账授权,授权后可直接转走该地址下的所有资产。
3.剪贴板劫持盗U。投放木马,由于虚拟货币的地址都非常长,不可能手动一个个输入。劫持用户的剪贴板,替换成攻击者自己的地址。
频道里发过这类工具,可自行测试。
4.小额USDT攻击盗U。由于区块链每笔交易都是保存在区块中,且人人可查。攻击者获取整个区块链的转账信息进行统计分析,筛选出活跃的,价值高的地址。利用软件生成一个与目标地址经常转账的地址非常相似的地址,从这个相似地址主动发送小额USDT到目标地址,用户在下次转账时可能会由于粗心大意,直接复制了相似地址,从而将USDT转给了攻击者。
5.多签盗U。多签这个功能是波场链上特有的,这个功能最初是开发用于多人共同管理资产,目前我们观察盗有盗U团队利用各种手动窃取到用户私钥或助记词后,不选择立即转走资产,而是对目标地址进行多签,多签后仅凭原有私钥已不能转账,此时钱包相当于变成了止付状态,只能收U而不能付款。
1.假钱包盗U。在互联网上搭建钓鱼网站,下发带有后门的钱包,可直接窃取用户助记词。
2.授权盗U。利用恶意智能合约,诱导用户进行钱包转账授权,授权后可直接转走该地址下的所有资产。
3.剪贴板劫持盗U。投放木马,由于虚拟货币的地址都非常长,不可能手动一个个输入。劫持用户的剪贴板,替换成攻击者自己的地址。
频道里发过这类工具,可自行测试。
4.小额USDT攻击盗U。由于区块链每笔交易都是保存在区块中,且人人可查。攻击者获取整个区块链的转账信息进行统计分析,筛选出活跃的,价值高的地址。利用软件生成一个与目标地址经常转账的地址非常相似的地址,从这个相似地址主动发送小额USDT到目标地址,用户在下次转账时可能会由于粗心大意,直接复制了相似地址,从而将USDT转给了攻击者。
5.多签盗U。多签这个功能是波场链上特有的,这个功能最初是开发用于多人共同管理资产,目前我们观察盗有盗U团队利用各种手动窃取到用户私钥或助记词后,不选择立即转走资产,而是对目标地址进行多签,多签后仅凭原有私钥已不能转账,此时钱包相当于变成了止付状态,只能收U而不能付款。