作者:Keystone 中文
今年以來,TON(The Open Network)收穫了衆多的關注。作爲和 Telegram 深度綁定的公鏈,龐大的用戶基礎,新項目的造富效應使得用戶紛紛想要進入 TON 生態,尋找屬於自己的 Alpha。
俗話說:有人的地方就有江湖,有流量的公鏈,黑客也會像鯊魚聞到血腥一樣圍過來。作爲一個技術特點不同於 EVM 的公鏈,在 TON上交互的時候可不能沿用 EVM 上的安全習慣。
作爲積極推進與 TON 生態集成的硬件錢包廠商,我們整理了一些安全上的建議,幫助大家安全地擁抱 TON 生態。🤗
一、正確選擇錢包
由於技術實現不同,大家習慣使用的 EVM 錢包如 Metamask、Rabby 等目前都不支持 TON,因此我們需要另外安裝支持 TON 的錢包。
此時一個安全性高的錢包對於我們來說至關重要,我們可以從錢包是否開源,是否支持硬件錢包等方面來評估哪款錢包更適合自己,而特別要注意的就是該錢包對於交易信息的解析是否全面到位。
舉個例子,在面對 TON 上的釣魚網站,當黑客想轉走我錢包裏的某些資產時,錢包軟件 OpenMask 和TonKeeper @tonkeeper的交易解析結果大相徑庭,如下圖所示:
在OpenMask看起來,這就是一筆正常的「領取空投」交易,但事實果真如此嗎?
同樣一筆交易,Tonkeeper卻爲我們解析展現了更多的信息,似乎釣魚網站正試圖盜走錢包中的 FISH 代幣, 黑客的行爲成功地被Tonkeeper揭示出來了。
相比較之下,你覺得使用哪款錢包的用戶更容易上當?
安全性更好的錢包,猶如一面「照妖鏡」,可以有效降低用戶在識別釣魚詐騙上的焦慮。近期 Keystone 也成功地與 TonKeeper 完成集成,相信硬件錢包的加入,能讓用戶在 TON 上的安全性成噸提高。
二、防範常見的釣魚形式
和其他公鏈一樣,釣魚也是目前 TON 上最常見,受害者最廣泛的攻擊形式。藉此機會我們來了解一下 TON 上黑客都有哪些釣魚手段:
1.零金額轉賬釣魚
黑客通過批量發送 0 金額的 TON 到許多地址上,再對轉賬交易備註諸如“領取 1000 TON 的空投,訪問 “http://xxxxx.com ” 等內容,“涉世未深”的用戶可能因此上當受騙,訪問該釣魚網站,並進行了所謂的領取交互,結果被黑客偷走了寶貴的資產。
2.NFT 空投釣魚
除了代幣轉賬,黑客也會嘗試空投 NFT 到用戶錢包進行釣魚,NFT 上除了好看的圖片外,同樣也會留下釣魚網站的網址對用戶進行誘騙。
比如下面這個案例,在空投給用戶的 NFT 上留有假冒的 fragment 市場鏈接。當用戶進入假冒的市場並試圖將空投的 NFT 掛單賣出時,便掉進了黑客的陷阱,不僅沒能賣出 NFT,反而被轉走了其他資產。
3.警惕 TON 特有的「交易附言」功能
TON 上的轉賬交易都有一個可選的 comment 字段,我們把它理解成銀行轉賬時的交易附言。這本來是方便用戶的功能,卻也被別有用心的釣魚網站利用。
如下圖所示,黑客試圖讓用戶將錢包中的 FISH 代幣轉出,並在交易附言中寫上"Received +xxx,xxx,xxx FISH"的字樣,誤導用戶以爲自己將獲得比現有數量更多的 FISH 代幣,從而確認交易。
在此我們提醒各位,不要相信交易附言中的任何內容,也希望在未來各個錢包軟件能爲交易附言做出更明確的安全提示。
三、利用區塊鏈瀏覽器識別詐騙釣魚
在以太坊上我們常用 etherscan 查看鏈上信息,而 TON 上對應的工具有 tonscan 和 tonviewer。
通過比較二者在安全方面的功能,可以發現 tonviewer 在識別詐騙釣魚這一功能上更勝一籌:不僅針對疑是釣魚的交易給出了"SUSPICIOUS"的可疑提示,對於空投的詐騙 NFT,也加上了 SCAM 字樣,防止用戶上當。
而 tonscan 僅僅展示了鏈上信息,缺少一些安全相關的提示。我們建議剛剛進入 TON 生態的用戶,優先使用 tonviewer 來查看錢包地址的信息。
四、使用硬件錢包進一步保證安全
在任何公鏈上,使用硬件錢包將助記詞脫網,並對交易進行二次驗證,都是有效保護資產的安全手段。Keystone 通過與 TonKeeper 錢包集成,使得 TON 生態用戶也能夠享受硬件錢包帶來的安全性。針對硬件錢包用戶,我們有以下建議:
• 將大額資產使用硬件錢包保存
• 利用 Keystone 的 3 組助記詞,將資產分開多個錢包存放,防止單點風險
• 仔細查看 Keystone 顯示的交易信息,避免簽名釣魚交易
在區塊鏈世界裏,機遇往往與風險並存。隨着 TON 生態的壯大,在尋找優質項目投資的同時,也不要忘記保護自己的資產安全。Keystone 也願與 TON 生態各方一起持續 BUIDL,共建一個安全的交互環境。