保護你的無聊猿 Web3又一起釣魚攻擊事件發生_CORD

2022年6月5日，成都鏈安鏈必應-區塊鏈安全態勢感知平臺輿情監測顯示，BoredApeYachtClub的Discord社群遭受黑客釣魚攻擊，黑客獲利約142ETH。成都鏈安安全團隊第一時間對事件進行了分析，結果如下。

#1事件相關信息

國內外明星如麥當娜、史蒂芬·庫里、周杰倫、林俊杰等都曾入手“無聊猿”系列NFT。今年1月，足球明星內馬爾宣布以超過100萬美元的價格購買了兩只“無聊猿”NFT。而近期關于NFT的釣魚攻擊也逐漸增多，比如在“愚人節”當天周杰倫的無聊猿就曾遭遇釣魚攻擊。

Celsius子公司Celsius Mining也已提交破產保護申請:7月14日消息，據紐約南區法院提供信息顯示，Celsius旗下采礦子公司Celsius Mining也于7月13日提交破產保護申請。此外，Celsius KeyFi、Celsius US Holding等相關子公司也都提交了破產保護申請。

今年5月，Celsius Mining曾向美國證監會提交IPO申請。[2022/7/14 2:12:39]

在web3世界中，網絡釣魚主要通過twitter、discord、網站偽造等一系列手段實現，通常在過程中伴隨著假托、在線聊天、下餌、等價交換、同情心等社會工程學攻擊，讓人防不勝防。

6月5日，BAYC在官方推特表示，其Discord服務器今天被短暫攻擊，團隊很快發現并解決了這個問題，但仍有價值約200ETH的NFT受到了影響，目前團隊正在調查，并建議受影響用戶發送電子郵件與官方聯系。

英國FCA官員：FCA專注于對加密領域消費者保護的擔憂:4月28日消息，英國金融行為管理局（FCA）一名官員周三表示，英國金融行為管理局（FCA）過去對加密領域消費者保護的擔憂，與財政部將英國打造為加密中心的雄心相悖。

在英國《金融時報》數字資產峰會上，FCA消費者和零售政策聯席總監David Raw表示，雖然英國財政部熱衷于吸引加密公司的“令人興奮的機會”，但他的機構專注于風險。他說：我認為，或許是傳統上，或許是FCA在另一邊有點過了頭。”任何關于公司風險和市場完整性風險到金融穩定風險的信息。[2022/4/28 2:36:14]

Cordial聯合創始人：Elastos將為個人數據和隱私提供真正的保護:近日， iPhone新應用通過掃描iCloud照片監控兒童性虐待問題，引起了大家對個人隱私問題的關注和討論，紐約時報發布文章提醒大家不過度依賴某一公司的云服務，以免隱私受到侵犯。

對此，基于可信數字身份、區塊鏈打造全球去中心化知識平臺Cordial的聯合創始人Chris MacGregor認為：這就是Elastos核心技術團隊構建個人云計算的原因，PCC將和Elastos其他核心技術組件一起為個人的數據安全和隱私提供真正的保護。[2021/8/13 1:52:19]

#2?本次事件攻擊流程

攻擊者地址

0x1079061D37f7F3FD3295E4aAd02EcE4a3f20DE2d

上海市知識產權局局長：研究加強區塊鏈等新業態新領域的知識產權保護:2020年4月28日14:30，上海市人民政府新聞辦公室舉行新聞發布會，上海市知識產權局局長芮文彪表示，4月26號上海召開了知識產權保護大會，發布了《關于強化知識產權保護的實施方案》。《實施方案》中明確提出，將完善新業態新領域保護制度。我們將著力加強市場主體知識產權保護和管理能力建設，編制發布企業知識產權保護指南，制定合同示范文本、維權流程等操作指引。同時，將進一步創新執法和監管模式，研究加強人工智能、移動互聯網、區塊鏈等新業態新領域的知識產權保護。（澎湃新聞）[2020/4/28]

第一步，攻擊者將釣魚網站鏈接發布到官方社群。

第二步，攻擊者通過釣魚網站獲得32個NFT，其中包含2個BAYC。

第三步，攻擊者賣出釣魚獲得的NFT，通過外部地址，將142ETH發送到Tornado.cash。

#3?資金追蹤

截止發文時，攻擊者地址累計轉出154ETH，其中有142ETH進入了Tornado.cash。

#4?總結

近期，官方discord遭遇攻擊的案例越來越多，經過成都鏈安安全團隊分析，其原因可能有：

項目方員工遭受釣魚攻擊，導致賬戶被盜；

項目方下載惡意軟件，導致賬戶被盜；

項目方未設置雙因素認證且使用弱密碼導致賬戶被盜；

項目方遭受釣魚攻擊，添加惡意書簽從而繞過瀏覽器同源策略，導致項目方Discordtoken被盜。

防騙技巧

1

作為項目方，應采用官方建議的使用雙因素認證、設置強密碼等安全操作來保護賬戶；項目方要警惕針對自己的各種傳統網絡攻擊和社會工程學攻擊，避免下載惡意軟件，避免訪問釣魚網站。　

2

作為web3用戶，應首先具備這樣的意識：官方discord賬戶被盜越來越頻繁，官方發布的消息也可能是釣魚信息，官方不等于絕對安全。此外，在任何需要自己授權或交易的地方都需要謹慎，盡量從多個渠道進行信息交叉確認。　

而如今在web3持續火爆的情況下，釣魚詐騙的方式層出不窮。用戶需謹記上述防騙技巧，盡全力保證自己不被釣魚詐騙。但是如果萬一已經被詐騙，則可以采取下列措施盡可能補救：

-?馬上進行資產隔離，盡快將剩余資產轉移到安全位置，避免更大的損失；

-?主動發布聲明，告知大家被盜賬戶的相關信息，避免危及朋友和社區；

-?盡可能保留證據，尋求項目方或機構進行后續處理；

-?可尋求專業的安全公司進行資金追蹤，如成都鏈安。

最后，建議記錄并分享被騙經歷，與大家共勉。反釣魚反詐騙，需要每個人都重視，也需要每個人都參與。

來源：成都鏈安

Tags：CORDORDCelsiusELSCORD價格LordTokencelsius幣官網7Pixels

中幣交易所