二、DeFi 交互环境风险

链上金融的核心之一是资金自托管，当我们在参与 DEFI， 进行链上金融交互的时候，通常会在这个过程中暴露一些潜在风险，这些潜在风险被黑客以钓鱼、木马、插件、盲签等多种形式潜伏其中。

所以，作为资金的自托管方，在进行 DeFi 交互时，一定要有一套完整的交互流程，将平时使用的浏览钱包与资金调动的钱包分离。保证彼此互不影响。

这些风险通常有：

1、浏览器交互风险

2、木马、病毒植入

3、通信安全

4、数字签名风险

一、DeFi 浏览器交互风险

我们使用DeFi时，网页、DAPP 是用户使用 DeFi 的高频场景，所以经常被黑客攻击。主要表现在以下几个方面：

钓鱼网站

• 通常黑客会设立一个跟原有网站一模一样的网站放在用户经常会去到的入口，比如搜索引擎，社交平台网站上。通过各种手段，让用户误以为自己是进入的正确的网站，从而一步一步的将用户的资产盗走。

  • 比如 Revoke.cash 这个网站，排名第一的是被黑客买了广告做的钓鱼网站，注意看域名前缀和名字大小写：

上面是购买广告位置的钓鱼网站

官网社交账号劫持

• 有时候在 X 等社交平台上，也有伪造的项目方账号发布虚假钓鱼网站信息，甚至还有直接盗取项目方官方账号，发布虚假信息的。所以在进行交互之前一定要多看项目方的域名和名字，尽量别从搜索引擎这类地方进去网站进行交互，保存常用交互网站。

空投钓鱼

跟钓鱼网站类似，但是他会更隐蔽，以链接的形式存在在你的平时的社交平台、钱包空投等。不要胡乱点击不认识的链接地址、授权各类未知网站。

二、木马、病毒植入

计算机系统被植入木马

• 在进行DEFI交互式，保证操作设备的系统无病毒非常重要。若被植入病毒、木马、甚至使用盗版软件，都会容易导致钱包被盗。所以，安装付费杀毒软件定期查杀病毒，安装正版最新操作系统，开启系统自带防护网络非常重要。

• 一旦被植入病毒或者木马，黑客就能通过各种手段实时监控你的计算机后台，比如监控粘贴板或者屏幕等。曾经有人因为复制粘贴密钥，或者对钱包密钥截图保存导致钱包丢失，资金丢失。也有人导致复制粘贴功能被木马恶意串改，导致复制的钱包转账地址不准确，大量资金转移到了别人的钱包里面。

浏览钱包与资金使用钱包没有隔离

• 越是开放的计算机环境，越容易遭到黑客攻击。所以，往往PC电脑的受攻击几率大于手机系统，开放的Windows系统大于封闭的苹果系统。

• 当资金规模越来越大的时候，不管是软件还是硬件，都需要尽量往专用方向转移。专用设备、专用系统、专用交互路径等等。专用设备的核心就是将交易的买卖与所有于此无关的操作隔离开来，尽量不在交互的设备上下载、更新任何非系统官方的软件和程序，特别是非常要谨慎加密行业第三方软件公司的任何软件。曾经有用户因为下载了一个看行情的 Chrome 扩展插件，导致用户在币安交易所的登陆cookie泄露，然后黑客登录之后，用对敲的方式，盗走了全部资金。

下载Chrome 扩展程序，丢失cookie，最后资金被公开市场对敲盗走

三、通信安全风险

交互出现与平时不同的异常

• 钱包、网页、交互协议这些程序有可能存在漏洞，黑客在入侵这些漏洞之后，就会设置各类钓鱼信息，从而进一步诱发用户多次授权。如果遇到一些异常情况，比如浏览网页的时候证书出错，那么就暂时别进行访问或者交互了。

• 比如，过去曾经也发生过因为手机 SIM 卡被盗的情况等。

  • 当手机SIM卡被盗用怎么办？ 你要学会离线存储加密货币 - 安全内参 | 决策者的网络安全知识库: https://www.secrss.com/articles/4755

  • FTX 黑客事件，未解的 SIM 卡盗币谜团 - 深潮TechFlow: https://www.techflowpost.com/article/detail_16389.html

四、数字签名风险

智能合约离线授权

• 在以太坊中的区块链中分两种代币，一类是ETH原生代币，一类是基于智能合约的合约代币。两者的关系，类似于传统金融中现金和支票的关系。所以，如果有些用户对DEFI进行了合约代币授权，又没有及时取消授权，就像一张支票寄存在项目方，如果被人恶意利用，就会导致大量丢币。

• 智能合约的代币，比如ERC 20代币，有允许第三方进行钱包代币转移操作的授权，一定要谨防 permit 授权签名，定期取消历史授权。

• 科普文章（eg. 探索 ERC20 代币 Approve 和 Permit离线授权功能：防范钓鱼诈骗 ）

盲目进行数字签名

• 进行数字签名的时候，有时候会有清晰的签名内容，有时候只是一串乱码，拒绝一切不清晰的签名内容。

• 签名的风险可以查看《黑暗森林自救手册》里面的内容，重点在于每一次签名，都要仔细观察内容，细节核心对每一次关键数字签名。

• 如果签名涉及地址转账，则需要仔细观察地址是否与目标转账地址一致，有时候也有黑客伪造前六位一样或者接近的地址，让人误操作从而向错误地址转账。

转账地址污染

• 加密行业最常见的钓鱼手法之一，黑客通过撞库海量地址的方法，生成与转账人日常转账地址首位代码类似的地址，从而骗取操作人员转账错误。

• 这类地址污染攻击，经常瞄准线上大额转账地址，一旦某些长期大额转账地址被黑客盯住，就会持续通过各种手段（包括不限于复制粘贴板的木马入侵，内部人员勾结）等手段，骗取转账人误操作转账。

• 避免通过简单复制粘贴后，就不进行二次转账验证的行为。

黑客通过撞库海量地址，生成了首尾类似地址

交互安全手段总结：

• 安全防护——术：

  1. 保证交互的相关设备，其系统是正版最新版本，并且开启了系统自带的基础防护。

  2. 可以使用火绒、malwarebytes、卡巴斯基等杀毒软件，定期查杀计算机病毒

  3. 操作系统封闭优于开放，手机优于PC，所以某种程度上来说，最安全的交互设备是苹果手机IOS系统。

  4. 对于频繁访问的链接，要固定交互路径，不要从搜索引擎进入到常用交互网站。

  5. 大额转账时，反复观察地址，对于常用地址可以设置白名单地址转账机制，不要盲目相信首尾地址相似的地址，反复观看地址中的全数字是否正确，这比只看首尾字母安全很多。

  6. 认真反复观看每次签名的内容，拒绝内容不清楚的网站签名，更要拒绝只有二进制乱码的盲签，定期清除智能合约授权网站。

  7. 尽量建立独立的交互环境，把平时浏览互联网的设备，与买卖数字虚拟货币的设备分割开来。

  8. 安装 scamsniffer 这个安全插件，目前加密行业主流的防欺诈钓鱼软件。

  9. 手抄助记词，图纸保存，如果是数据文件格式的助记词或者私钥，就要采取加密形式保存。

  10. 多关注加密行业从事安全领域工作的kol社交账号，日常了解安全事故，形成长期防范思维。

• 安全防护——道：

  • 其实可以看到，在用户端的 DeFi 交互过程中，主要风险来自于虚拟货币的储存、DeFi 交互时的设备、签名授权时的信息这三个关键节点。

  • 理论上来说，越接近固定干净的环境，受到恶意攻击和污染的机会就越小，对于大资金来说，干净固定的软硬件系统（专用设备、冷钱包），固定的DeFi访问浏览路径（收藏地址、固定入口，固定最新版本浏览器），固定的签名内容和转账地址白名单等，都是很好的防范用户端交互风险的手段。

  • 本质上，越是简单纯粹，目标清晰的操作，越是能够抵御复杂的外部性，用极致的简单对抗复杂的风险，也是一种很好的策略。

一些相关新闻：

OKX Web3 & 慢雾：身经「百诈」的经验分享_资讯-odaily: https://www.odaily.news/post/5195281

Scam Sniffer 2023: Crypto Phishing Scams Drain $300 Million from 320,000 Users - Scam Sniffer: https://drops.scamsniffer.io/post/scam-sniffer-2023-crypto-phishing-scams-drain-300-million-from-320000-users/

探索 ERC20 代币 Approve 和 Permit离线授权功能：防范钓鱼诈骗 | by Puffer Finance 中文爱好者社区 | Medium: https://medium.com/@Puffer_CN/探索-erc20-代币-approve-和-permit离线授权功能-防范钓鱼诈骗-a353f68bea40