揭露假安全專家的行騙過程
作者：Liz&Reborn背景
昨天，一位用戶聯(lián)系到慢霧安全團隊，詢問如何取消簽名，并附帶了一張截圖，顯示其錢包地址存在風險授權。
該用戶表示，自己錢包中有一項授權始終無法撤銷，點擊多次均無反應，錢包界面也顯示了風險提示。他又回憶起多年前曾為某Tokens的Swap操作授權過一次，因此感覺此次風險提示并非空穴來風。披著安全外衣的*騙*局
慢霧安全團隊使用區(qū)塊瀏覽器及 Revoke進行排查，卻并未發(fā)現(xiàn)截圖中地址的風險授權記錄。不久后，用戶又發(fā)來另一張截圖，顯示其在某工具中查詢出的結果。經(jīng)對比，兩張截圖中的地址并不一致。我們隨即建議用戶將該工具的鏈接與相關地址一并提供。此時，用戶也開始疑惑：難道自己兩個地址都有風險授權？
我們隨即對該工具 SignatureChecker(http://signature[.]land)進行分析，一打開便看到，該工具竟然支持用戶輸入私鑰來查詢。本來沒有風險的地址，在這個網(wǎng)頁輸入了私鑰，也得有風險了。
值得注意的是，這個釣魚網(wǎng)站的頁面設計和 Revoke的界面風格、Logo極為相似，容易讓用戶誤以為是正規(guī)授權撤銷平臺，從而降低警惕，增加上當受騙的風險。下圖為Revoke的官網(wǎng)界面：
我們用騙子提供的工具查詢用戶的兩個地址，發(fā)現(xiàn)確實有風險授權的記錄。不過，黑暗森林里的準則之一是保持懷疑，持續(xù)驗證。我們接著測試，發(fā)現(xiàn)隨機貼入地址，該工具都會顯示地址有風險授權，而且授權時間與查詢時間非常臨近，這種設計既給了用戶希望，還營造了緊迫感：現(xiàn)在趕緊取消應該沒事。
我們隨后輸入測試用的私鑰進行查詢，發(fā)現(xiàn)頁面彈出“格式錯誤”的提示，但是仍然會傳輸我們輸入的信息。
這是發(fā)送到 EmailJSAPI的請求接口，可以發(fā)現(xiàn)用戶輸入的地址或者私鑰信息會通過該接口發(fā)送到騙子的郵箱(abpulimali@gmail[.]com)。
騙子還提供了所謂的“操作教程”，引導用戶將私鑰粘貼進釣魚網(wǎng)站的輸入框，以“取消與惡意合約的交互”為由行騙，甚至還提供了語音指導服務，全方位催促用戶上鉤。
用戶在察覺異樣后并未配合，不過騙子沒有放棄，為了進一步施壓并取信于人，騙子建議用戶去咨詢慢霧安全團隊。一些警惕性不高的用戶，聽到對方愿意請安全公司驗證，可能會因此放松警惕，誤以為對方不是騙子。而騙子則往往賭定用戶不會真的去核實，甚至在行騙過程中直接 @SlowMist_Team，試圖利用安全公司為自己背書。
幸運的是，這位用戶足夠警惕，并未按對方引導輸入私鑰，而是主動聯(lián)系了慢霧安全團隊核實情況，最終確認這是一場*騙*局，成功避免了資產(chǎn)損失。
我們進一步調查發(fā)現(xiàn)，騙子在 Telegram上盜用了知名鏈上偵探ZachXBT的頭像。
由于用戶沒有繼續(xù)配合，騙子隨后又冒充慢霧員工，繼續(xù)嘗試聯(lián)系和行騙。
查看騙子的 X賬號(@Titanspace3)，該賬號擁有7.4萬粉絲，注冊于2021年，但直到2024年才開始活躍。賬號內(nèi)容以轉發(fā)安全研究員、安全公司和媒體動態(tài)為主，自稱專注Blockchain安全領域，明顯是買來的賬號。這類賬號買賣在灰產(chǎn)中很常見，相關內(nèi)容我們此前已有分析，見真假項目方|警惕評論區(qū)高仿號釣魚。
結合其早期推文語言風格與用戶提供的線索，推測該騙子可能來自印尼。
目前，該賬號仍活躍在 X平臺，不斷以“善意提醒”的名義留言，引導Web3用戶點擊釣魚鏈接，并誘導他們泄露私鑰。Web3反詐騙平臺ScamSniffer已經(jīng)將該網(wǎng)站標記為惡意。
寫在最后
從偽造“授權風險”頁面，到冒充安全公司員工，一步步引導用戶泄露私鑰，這類*騙*局的手法正變得愈發(fā)精細。騙子認為只要自己包裝得夠專業(yè)，大多數(shù)人就不會去深究驗證，反而會被他們制造的“緊迫感”牽著走。
對此，我們特別提醒廣大用戶，務必警惕打著安全旗號行不軌之事的人。在Blockchain這片黑暗森林中，唯有保持零信任態(tài)度與持續(xù)驗證意識，才能守住資產(chǎn)安全的最后一道防線。無論對方自稱是誰，無論對方聲稱情況多緊急，請務必保持冷靜，通過官方渠道進行驗證，切勿因一時慌亂而交出私鑰或助記詞。慢霧安全團隊也將持續(xù)披露此類案例，幫助用戶識別風險、提高警惕，共同守護Web3世界的安全底線。