NFT 防钓鱼指北：如何选择一款防钓鱼插件

By:山

“我不需要知道Jerry是谁，在网络上做生意，你相信的就是网络上的小面板，剥掉面板，你就知道这玩意实际上有多脆弱，而事实上在那网站后面操作的真人，他们才是你需要信任的人。“

——《别相信任何人：虚拟货币悬案》

NFT?背景

2008年11月1日，中本聪提出比特币的概念，2009年1月3日，比特币正式诞生，而后随着全球数字经济加速发展，加密资产等概念爆热，2012年第一个类似NFT的通证ColoredCoin诞生。彩色币由小面额的比特币组成，最小单位为一聪。随着技术的持续发展，时间一转来到2021年，NFT迎来了爆发性增长，逐步成为市场最热的投资风向标之一。

艺术家Beeple的NFT作品《Everydays:TheFirst5000Days》在佳士得官网上以69,346,250美元成交，虚拟游戏平台Sandbox上的一块虚拟土地以430万美元售出……随着水涨船高，层出不穷的高价项目持续刺激着人们的神经。然后在高价光环之下，NFT也渐渐进入了犯罪分子的视野，从此开启了针对NFT的疯狂钓鱼、盗窃等行动。

NFT?现状

引言这段话出自Netflix的自制纪录片《别相信任何人：虚拟货币悬案》，故事讲述加拿大最大加密货币交易所QuadrigaCX首席执行官格里·科滕离奇死亡后，他将2.5亿美元客户资金密码也带进了坟墓。大量惊恐的投资者拒绝接受官方的说法，他们认为格里的“死亡”具有“金蝉脱壳”的所有特征：他还活着，已经带着投资者的钱跑路了！

其实QuadrigaCX的故事只是Web3世界的冰山一角，而我们今天要聊的NFT世界里，被盗几乎每天都在上演，列举几个知名案例：

2021年2月21日，OpenSea用户遭到personal_sign类型网络钓鱼攻击，有32位用户签署了来自攻击者的恶意交易，导致用户部分NFT被盗，包括BAYC、Azuki等近百个NFT，按当时价格计算，黑客获利420万美元；

2022年4月29日，周杰伦持有价值320万元的无聊猿?NFT?被盗；

2022年5月25日，推特用户/img/20230515162802850637/0.jpg "/>

据SlowMist数据显示，2022年NFT盗窃案主要集中在Ethererum链，发生在社交媒体平台上，通过虚假域名、项目方相似域名、恶意木马、Discord入侵发布虚假链接钓鱼等手法进行攻击，者平均每次盗窃10万美元。似乎不论牛市还是熊市，只有黑客在“0元购”赚的盆满钵满。

那么问题来了：不管是普通用户还是项目方创始人都屡遭钓鱼攻击，面对如此恶劣的NFT钓鱼、欺诈环境，NFT用户是不是就毫无办法？用户就是待宰的羔羊吗？

Phantom已支持在浏览器扩展应用内将NFT直接上架Magic Eden:6月23日消息，Solana生态钱包Phantom已支持在浏览器扩展钱包应用内直接将NFT上架至NFT交易市场Magic Eden，移动端应用也即将支持该功能。此外，在移动端应用支持该功能后，用户还将在NFT收到出价或卖出时收到提示。[2022/6/23 1:26:13]

No！现在我们安全防御一直推行人防+技防的手段，即人员安全意识防御+技术手段防御。人员安全意识防御即个人安全意识，建议加密货币从业者可以学习下区块链黑暗森林自救手册：

https://github.com/slowmist/Blockchain-dark-forest-selfguard-handbook/

鉴于人是个复杂的高等动物，所以人员安全意识防御我们今天不展开讲，大家区块链黑暗森林自救手册好好读一下。

而技术防御手段又是什么？简单讲就是通过软硬件、浏览器插件等安全方式来保证资产等安全，而在NFT用户群体，浏览器交互是90%的NFT用户最常用的操作方式，也是最容易出现问题的环境，现在市场上已经有多款防钓鱼浏览器插件，下面我们来盘点与对比下，希望能给NFT用户一些安全指引。

安全插件对比

免责提示：以下对比的几款浏览器安全插件仅从基本信息层、NFT实时钓鱼检测层、基本操作层进行对比，慢雾仅作为中立第三方，不承担任何义务和法律责任。

下面我们来从几个角度评比下几款我们熟悉的防钓鱼浏览器插件，看看他们各自都有哪些特点：

1、是否开源、安装次数、支持链、主要功能描述：

2、NFT钓鱼网站、实时黑名单真实测试：

我们找最常见的朝鲜APTNFT钓鱼特征和MonkeyDrainerNFT钓鱼特征，进行实时特征扫描，找到团伙最新的钓鱼网站，发现时差3小时左右，来看下各个防钓鱼插件的反馈情况：

最新恶意NFT钓鱼站点：https://blur.do

下面为测试内容：

1-PeckShieldAlert

结果：无任何提示，仍正常打开钓鱼网站。

2-PocketUniverse

Defi Llama推出NFT数据平台DefiLlama NFT:12月7日，据官方消息，区块链数据分析平台DefiLlama推出NFT数据平台“DefiLlama NFT”，数据源已覆盖以太坊主网、Arbitrum、Terra、BSC、Immutable和Solana。[2021/12/7 12:56:12]

结果：无任何提示，仍正常打开钓鱼网站。

3-Revoke.cash

结果：无任何提示，仍正常打开钓鱼网站。

4-Fire

结果：无任何提示，仍正常打开钓鱼网站。

5-ScamSniffer

结果：提醒钓鱼网站并阻止访问钓鱼网站。

6-WalletGuard

结果：无任何提示，仍正常打开钓鱼网站。

7-?MetaDock

结果：无任何提示，仍正常打开钓鱼网站。

8-Metashield

Flare Finance与Forever Lands NFT游戏合作:金色财经报道，据Flare Finance官方公告，其团队已与 Forever Lands 的“Play-to-Earn”产品签署了合作协议。Flare Finance 和 Forever Lands 宣布早些时候在 Flare Finance 的爱好者之间分发的 Delorean NFT 的持有者可以在游戏中获得 20% 的折扣。[2021/10/5 18:11:35]

结果：无任何提示，仍正常打开钓鱼网站。

9-Stelo

结果：无任何提示，仍正常打开钓鱼网站。

为了测试NFT站点钓鱼的实时性、真实性，9个安装的插件展示如下：

以上是以3小时时差级别的真实NFT钓鱼网站结果。?

3、基本操作层测试内容

1?-?PeckShieldAlert

安装后是让用户自己输入一个TokenContract来检测，这种方式不符合目前NFT用户急于第一时间知道站点是否是钓鱼网站的需求。它更像一个在线恶意合约扫描器插件。

personal_sign测试：无提示。

2-PocketUniverse

安装后可以知道逻辑用户触发交易时开始检测，所以在第一步用户打开NFT钓鱼网站时，是不能第一时间提醒用户的。我们来看下第二步：

personal_sign测试：提醒用户已经根据链上地址识别出风险地址，让用户不要签名，还是不错的，符合安全插件预期。

NFT数据：CryptoPunks 24小时成交量涨幅677.05%:DappRadar最新数据显示，过去24小时成交量排名前十的NFT项目及其成交量涨跌幅如下：Axie Infinity（+6.02%）、CrypToadz by GREMPLIN（-33.42%）、Bored Ape Yacht Club（+144.66%）、888 inner circle、Inertial Moment（+16.38%）、Loot（+29.01%）、CryptoPunks（+677.05%）、The Sevens (-81.10%)、VeeFriends（+228.08%）、PUNKS Comic（-50.88%）。

其中，CryptoPunks 24小时成交量领涨（+677.05%）；The Sevens 24小时成交量领跌（-81.10%）。[2021/9/10 23:15:28]

3-Revoke.cash

第一步没有标示出NFT钓鱼网站，在第二步用户连接钓鱼网站后，根据链上地址识别出风险地址，提醒用户不要签名。符合安全插件预期。

personal_sign测试：

4-Fire

第一步没有标示出NFT钓鱼网站，在第二步用户连接钓鱼网站后，根据链上地址没有识别出风险地址，也没有提示签名风险。但是Fire可以把签名预执行内容可读性显示出来，这点比较不错。

personal_sign测试：无提示。

5-ScamSniffer

安装后用户访问NFT钓鱼网站时，直接提示风险并阻断了访问钓鱼网站。符合安全插件预期。

personal_sign测试：无提示。

6-WalletGuard

安装后是在用户触发交易时开始检测，所以在第一步用户打开NFT钓鱼网站时，不能第一时间提醒用户，我们来看下第二步：

personal_sign测试：提醒用户现在已经标记到这个钓鱼网站，提醒有风险，不要签名，还是不错的。符合安全插件预期。

7-MetaDock

安装后用户连接钓鱼网站，钓鱼网站取用户签名时，插件依旧没什么提示，无任何风险提示。更像是需要用户主动去提交扫描的方式，不符合安全插件预期。可能MetaDock不是一个防钓鱼插件？有兴趣的小伙伴可以找项目方确认下。

personal_sign测试：无提示。

8-Metashield

安装后与“MetaDock”、“PeckShieldAlert”类似，用户连接钓鱼网站，钓鱼网站取用户签名时，插件依旧没什么提示，无任何风险提示。需要用户主动去提交扫描的方式，不符合安全插件预期。

personal_sign测试：无任何提示。

9-Stelo

安装后用户连接钓鱼网站，钓鱼网站取用户签名时，插件依旧没什么提示，无任何风险提示。

personal_sign测试：恶意信息提示为低风险。不符合安全插件预期。

至此，对比结束。

最终对比结果

下图为最终对比结果：

在对比后，我们发现在第一步的识别上多数安全插件都做得不够好，只有ScamSniffer识别到了这个3小时时差的最新NFT钓鱼网站，在第二步开始eth_sign、personal_sign签名等危险操作时，PocketUniverse、Revoke.cash、WalletGuard?均做出了安全风险识别等提醒。

但这只是目前的基础对比项，未来可能会进一步细化。

测试的安全插件名称及版本号如下图：

在此感谢吴说区块链的抛砖引玉；感谢以上优秀的插件项目方，虽然产品定位、对比结果各不相同，不少仍有改进的空间，但是他们的努力让区块链安全更进一步！

除此之外，推荐一个使用组合：

1、Rabbywallet+ScamSniffer

2、Rabbywallet+PocketUniverse

3、MetaMask+PocketUniverse

4、MetaMask+Revoke.cash

写在最后

纵观区块链行业的钓鱼攻击，对个人用户来说，风险主要在“域名、签名”两个核心点，其中90%的NFT钓鱼都跟虚假域名有关。对用户来说，在进行链上操作前，提前了解目标地址的风险情况是十分必要的，如果用户在打开一个钓鱼页面时，相关的浏览器安全插件或钱包就能直接提示风险，这样就可以把风险阻断在第一步，直接阻断了用户后面的风险。就像Web2世界中360时代，直接解决了当时小白用户被病攻击的困扰，但它也并非解决了所有木马病问题，因为病的查杀和病的免杀永远存在时间差，如何做到时间差更小、样本数更快、识别更精准就决定了杀软件的厉害程度。

同样，在区块链、NFT行业，如何能第一步识别、提醒到钓鱼站点的实时情况，在用户端快速反馈、识别出钓鱼网站，就决定了一款防钓鱼安全插件的能力；而如果相关产品因为时间差的问题没有在第一步识别到这些钓鱼域名，用户丢币的风险就大大增加；那么接下来到第二步，用户交互时授权链接、签名步骤，如果浏览器安全插件或钱包有签识别，能够识别、友好的展示出用户要签名的详细信息，如授权什么币种、授权多少、授权给谁等人类可读数据，比如RabbyWallet，在一定程度上也可以提示风险，一定程度上可以避免陷入资金损失的境地。

对钱包项目方来说，首先是需要进行全面的安全审计，重点提升用户交互安全部分，加强所见即所签机制，减少用户被钓鱼风险，如：

钓鱼网站提醒：通过生态或者社区的力量汇聚各类钓鱼网站，并在用户与这些钓鱼网站交互的时候对风险进行醒目地提醒和告警。

签名的识别和提醒：识别并提醒eth_sign、personal_sign、signTypedData这类签名的请求，并重点提醒eth_sign盲签的风险。

所见即所签：钱包中可以对合约调用进行详尽解析机制，避免Approve钓鱼，让用户知道DApp交易构造时的详细内容。

预执行机制：通过交易预执行机制可以帮助用户了解到交易广播执行后的效果，有助于用户对交易执行进行预判。

尾号相同的提醒：在展示地址的时候醒目的提醒用户检查完整的目标地址，避免尾号相同的问题。设置白名单地址机制，用户可以将常用的地址加入到白名单中，避免类似尾号相同的攻击。

AML合规提醒：在转账的时候通过AML机制提醒用户转账的目标地址是否会触发AML的规则。

标签：NFTSIGSIGNIGNAPENFTSIGNASIGN币

USDT热门资讯