学会安全存储你的NFT资产,并避免遭受。
原文标题:《NFT防盗指南:如何保护资产安全?》
随着NFT用户数、交易量和市值的不断攀升,钓鱼者、黑客等不法分子也开始瞄准这个市场,进一步威胁NFT生态的安全。
区块链安全和数据分析公司PeckShield编写的表格显示,在一次钓鱼攻击中,254个总价值约为170万美元的NFT遭到盗窃;愚人节当天周杰伦的NFTBAYC#3738被盗走,该事件是典型的由钓鱼网站诱导mint从而获得用户NFT操作权的案例;一个名为MoonManNFT的项目,该项目借由freemint的名头,盗走了近400个NFT……
一般来说,黑客会通过Discord和Telegram锁定收藏者,并通过诱导mint、钓鱼攻击等方式盗走用户的NFT资产。随着当下技术发展,NFT投资者和收藏者必须及时了解保护资产的最新方法。
NFT安全存储基本知识
请牢记:
你的NFT并非储存在电脑或移动设备上,而是在IPFS或Arweave这样的去中心化空间。
拥有私钥,就有了对区块链/你的资产的完全访问权限。
2020年Twitter黑客因加密货币盗窃、SIM交换计划被判5年徒刑:金色财经报道,一名英国男子通过精心策划的Twitter黑客攻击和单独的与加密货币相关的SIM卡交换计划赚取了约90万美元,周五被一名联邦法官判处5年徒刑。周五,美国纽约南区地方法院法官Jed Rakoff在宣判时表示,Joseph O’Connor的行为影响了人们的生活。[2023/6/24 21:57:20]
Shamir私钥分割方案能为助记词提供二级保护。
1.你的NFT储存在哪里?
NFT并非储存在冷钱包、PC端或热钱包中。NFT是位于以太坊区块链上的代币,由全球2400多个运行中的网络节点承载。NFT受到完全去中心化系统的支持,它能确保NFT生态正常运转,也能够验证线上交易。当你进行NFT交易时,实际发生的活动是数据库对该NFT的地址进行更改。
2.你的图片、动图和音乐在哪里?
NFT的URI标记了图片的位置。NFT一般位于像IPFS或Arweave等去中心化存储空间。在Web2中,也有AWS这样的中心化存储器。
3.钱包
钱包是一个储存私钥的软件,能够支持交易活动。钱包分为两种:热钱包和冷钱包。
黑客窃取芬兰Vastaamo心理治疗中心记录以勒索比特币:11月1日消息,多名黑客入侵Vastaamo心理治疗中心窃取了芬兰公民的心理治疗记录,以此勒索比特币。据称,在过去两周内,1%的芬兰人口也收到了要求使用加密货币支付500欧元赎金的信息,否则黑客将公布其心理治疗记录。目前,尚不清楚Vastaamo心理治疗中心是否已支付赎金。(福布斯)[2020/11/1 11:20:29]
热钱包:能够在通用设备上运行的软件,能Web3连接,只需点击鼠标就能接收资产。
冷钱包:专用于硬件设备,能与Web3连接并接收资产。它与热钱包的主要区别是,冷钱包的助记词从不联网,若要进行交易,必须通过物理手段批准。
选择了合适的钱包后,你需要了解它的功能:
首先,热钱包/冷钱包会要求你创建一个密码,此密码在特定设备上是唯一的。只有知道密码,才能访问钱包。
你可以自由分享钱包的公共地址,此地址与Web3的电子邮件地址没有区别,知道了你的地址,任何人都能向你发送NFT。这也就催生了新的黑客攻击载体。黑客会向人们发送NFT,当人们与该NFT互动时,黑客就会窃取此人钱包中的资产。请谨记,不要点开陌生NFT!此外,人们也会利用流氓签名或批准来获取你的IP地址。
数据:Bitfinex2016年黑客再次转移400枚比特币:据WhaleAlert监测,两笔共400枚比特币于2016年被盗的比特币被转入未知钱包地址。注:近期,Bitfinex2016年黑客动作频频,10月7日共转移2420枚比特币,10月8日转移约443枚比特币。[2020/10/15]
钓鱼邮件也是寻常的方式。邮件的目的是引诱你把钱包连接到虚假网站,以便黑客窃取资产。所以,千万不要点开陌生链接!务必时时检查网站名称。目前黑客攻击的方法比较单一,只能从公共地址和电子邮件下手,只要不理会它们就可以了。
你要保管好私钥,它是访问你的公共地址的密码,私钥的功能有:
将你的NFT移出地址。
签署合同,来证明你拥有该地址的私钥。
公共地址和私钥最大的区别是,你永远也不能向任何人透露自己的私钥。否则,他们就能把你的私钥导入他们的钱包,窃取你所有的资产。
明确了私钥和公共地址的概念,我们再来看一下助记词。助记词一般由12、18或24个单词构成,用于找回钱包。如果丢失私钥,你可以使用助记词新建一个。与私钥一样,助记词永远不能被第二个人知道,也不能存储在电子存储设备或服务商中。最理想的方式是物理存储,比如写在纸上。有人也使用铁制品存储助记词,因为它更加防火。其他方式,例如口令,也能增加钱包安全性。口令是一串符号或单词,将其与助记词结合,就能在原有钱包的基础上创建新钱包。打个比方,若要在原有钱包的基础上创建新的钱包,只需输入:
直布罗陀财政部加入Post-COVID DLT黑客马拉松活动:直布罗陀财政部(Gibraltar Finance)宣布与即将举行的Post-COVID黑客马拉松活动达成合作。这是一项全球在线倡议,旨在创建解决后COVID -19时代带来的卫生、社会和经济挑战的开源解决方案。此次活动预计将有数百个DLT领域的国际团队参与,200多名行业专家将协助参与者。(Cointelegraph)[2020/7/23]
助记词+「NFTGo」
助记词+任意数字
助记词+任意字母
助记词+任意短语
上述任一方式都能创建一个具有不同私钥公共地址的新钱包,但口令这一功能只对冷钱包适用。
4.添加第二层保护
购买冷钱包是提升安全性的有效途径。Trezor,Ledger和Keystone是几款最受欢迎的硬件钱包,但各自有优势和不足。每种冷钱包都有其特色。比如Keystone使用二维码进行数据传输,避免了木马病通过USB接口或者蓝牙被传输到硬件钱包的风险,同时也是首个支持ENS(EthereumNameService)的硬件钱包,免去了核对原始地址的麻烦。此外,用户可以用NFT自定义其4英寸的屏幕。
分析 | 2月仅发生6起黑客攻击事件但209万EOS偷跑引行业巨震:据PeckShield态势感知平台03月01日数据显示,过去一个月,EOS公链共计发生6起竞猜类游戏遭黑客攻击事件,开发者共计损失28,841.17个EOS。较之上月,2月份发生的黑客攻击事件明显变少,其中竞猜类游戏EOSPlaystation因假转账通知问题,一次损失了17,386个EOS,111alpha1111黑客团伙作案2次共计获利8,546个EOS。就DApp安全现状而言,DAppShield安全盾风控平台监测中的黑名单账户活跃度明显降低,包括新增攻击合约部署和异常获利等等,这和竞猜类DApp整体活跃度及流水下滑有直接关系。需要重点关注的是,2月份发生了曾被ECAF冻结的gm3dcnqgenes账户携209万EOS偷跑事件,截止目前,黑客已经向交易所转入了39.94万个EOS,价值近千万元。该事件暴露出EOS超级节点黑名单管控,赃款流进交易所应急响应等一系列社区治理低效问题,引发行业广泛讨论。[2019/3/1]
我们以Keystone为例进行设置。
从官方网站购买Keystone钱包。
安装Keystone套件。
启动Keystone。
设置你钱包的PIN——专属于此设备的口令。
如果是企业使用的话,推荐使用Shamir私钥分割方案,把2组助记词分成3组,或把3组助记词分成5组,你可以把这3组私钥保存在不同地方。如果你有5个Shamir备份中的3个并且丢失了其中2个,你仍然可以使用剩余的3个备份来恢复您的钱包。
我们以转移一个BAYC为例具体来看NFT硬件钱包的使用。在Keystone中,用户可以使用microSD卡中上传的ABI数据文件快速确认地址的真实性,地址旁边会出现蓝色字体的「BoardApeYachtclub」,还需要确认该交易是否涉及任何恶意行为,以免将您的NFT签署给者或黑客。
避免NFT的方法
1.务必从官网下载Web3app或钱包
导致加密/NFT黑客攻击的主要原因是用户对非官方网站的访问。绝大多数此类网站是为了行而建立,看上去与官方网站极其相似。不要从GooglePlay下载Web3app,它们可能不是从原始渠道获取的。你可以参考以下建议,来鉴别官方网站:
关注网址栏。只点击以https://开头的网址,「s」代表「安全」,表示该网站的数据是加密传输的,能阻止黑客攻击。
检查域名。黑客最青睐的伎俩就是创建山寨网站,其域名与正版网站十分相似,只有双击才能察觉区别。例如,https://wobble.com这个网站的山寨版可以是https://w0oble.com。请记得时时双击域名的所有字母。
留心拼写错误。多数虚假网站是粗糙赶工而成,拼写、读音、大小写和语法都会出错。
2.只浏览官方频道、官方推特和官方链接
前面提到,你只能相信官方网站、推特账号和discord。你可以参考下列建议来验证:
检查账户活动。
检查粉丝数。
检查账户历史。
检查评论和参与度。
3.不要与任何人共享登陆凭证或私钥
有句话在加密圈十分流行:「无钥即无币,币钥为一体」。一旦你的私钥或助记词被分享出去,这个账户就再也不属于你了。最好的做法,是不让其他人拿到私钥。
4.先验证NFT再购买
在NFT生态系统中,尽职调查总是非常重要。购买或铸造NFT之前,务必要检查项目涉及到的团队的声誉,其社区中的有机互动,以及人们对该项目的看法。
5.使用多个钱包铸造NFT
比如,Burner钱包是专为NFT铸造创造的二级钱包。这些钱包都是以铸币所需的gas数额来创建并注资。铸币完成后,铸成的NFT被发送到另一个钱包,它的作用是存储NFT。这就减少了主钱包与易被攻击网站互动的风险。你可以创建多个burner钱包,一旦发现漏洞,就立即丢弃它。
6.谨慎点击陌生账户的链接
黑客的常见术,是通过陌生的Discord账户或冷邮件发送赠品或白名单链接。务必将Telegram、Discord和邮件设置为不接收陌生账户或非官方地址的消息,也请提防用户假扮群主或官方DM你。
7.检查令牌批准&撤销不使用的令牌
人们每天都与不同的协议和链接互动,基于智能合约上的信息给予其访问权限和许可。时常审查和撤销访问权限十分重要。https://revoke.cash/网站可以帮您取消访问权。
8.进行下一步之前,仔细阅读并核实智能合约的交易条款
确认交易前,务必确保自己认真阅读了智能合约中的每个细节。很多黑客利用智能合约取许可,从而随意访问你钱包中的资金。你要认真阅读,确保合约中的细节不会构成威胁,也不是存在漏洞。
9.紧跟新闻,了解新漏洞
结语
人们对NFT市场的兴趣日益增加,不法分子也潜伏其中,利用伎俩从收藏者和投资者手中偷取作品和资金,请确保自己的宝贵资产、钱包和资金不落入黑客手中。
目录 一、UST稳定币的机制二、虚市值三、如何利用虚市值赚钱四、Luna中的虚市值五、Luna创始人DoKwon的巨额套现六、DoKwon买入的8万个BTC七、DoKwon用8万个BTC救市了吗?八、Luna&UST归零中.
1900/1/1 0:00:00头条 ▌福建发放首笔数字人民币工资金色财经报道,厦门自贸委69个在岗公务员和35个事业单位在编人员已收到了单位发放的首笔数字人民币工资。据悉,这也是福建省首个以数字人民币发放公务员和事业单位员工工资的单位.
1900/1/1 0:00:00早在90年代,加密专家NickSzabo就创造了术语“智能合约”。在一篇1997年发表的论文中,他写道,智能合约“将协议与用户界面结合,使计算机网络中的关系更正式与安全.
1900/1/1 0:00:00前言 北京时间2022年5月9日,知道创宇区块链安全实验室监测到BSC链上借贷协议FortressProtocol因预言机问题被攻击,这是最近实验室检测到的第三起预言机攻击事件,损失包括1,048枚ETH和400,000枚DAI.
1900/1/1 0:00:00北京时间5月10日凌晨,Azuki创始人?ZAGABOND.ETH发布了一篇题为《建设者之旅》的亲笔文章,介绍了自己在NFT领域的职业履历及心路变化,同时再次强调了自己以及整个Azuki团队对于项目本身以及Web3.0发展的坚定信念.
1900/1/1 0:00:00自去年以来大热的元宇宙,将为这个世界带来怎样的变化?近日,埃森哲发布了最新的《技术展望2022》报告。报告显示,扩展现实、区块链、数字孪生和边缘计算等多种技术的发展,为塑造企业级元宇宙奠定了基础,并将改变未来十年人们的生活和企业发展.
1900/1/1 0:00:00