虛假網站，如何判斷？
2021 年 5 月 29 日，imToken 使用者支援團隊接到一名珠海使用者的舉報，稱錢包內價值超過 500,000 USDT 的資產被盜。安全團隊瞭解情況後得知，受害使用者是透過某度搜尋，進入了虛假 imToken 網站，從而下載了假的錢包 App，導致資產被盜。
順著該線索，imToken 安全團隊發現騙子在某度上購買了「搜尋關鍵詞」及廣告位，使用者無論搜尋 imToken，麥子或者是 TokenPocket，甚至搜尋 MetaMask，搜尋結果顯示排名第一至和第三的都是騙子網站(如圖 1)，使用者在這些網站上，會下載到假的錢包應用。
某度搜尋結果 圖 1
面對這樣的騙局，imToken 安全團隊一方面聯絡某度公司，下架騙子廣告，另一方面也主動聯絡警方，在嘗試封禁這些網站的同時，也在不斷蒐羅收集證據，從而幫助警方對這些不法分子實施抓捕。截至發稿日，雖然騙子廣告已經下架，可部分錢包虛假網站仍在，希望廣大使用者提高警惕，認準你所下載的錢包官網。
關於使用者對官網辨識度的調查 圖 2
在做好安全防範的同時，安全團隊也在試圖分析該類騙局。其實數字錢包或交易所假網站，是非常難以防範的，它在使用者瞭解數字資產的整個生命週期伊始，就構建了一個圈套。因為一般使用者剛接觸這個行業是處於非常「懵」的狀態，本身區塊鏈的認知門檻就比較高，在財富效應的催生下，部分使用者更是急於跨過認知期，直接進行數字資產購買。而對於新進行業使用者（甚至不能稱為小白使用者），錢包服務商、交易所、安全機構等之前所做的安全宣傳和使用者教育是觸達不到的。所以騙子利用這種「資訊差」，對新進行業使用者形成了「吊打」的局面。
不過作為錢包使用者，也不用「杯弓蛇影」，這裡有幾個小技巧可以幫助防止此類騙局：
- 將常用網站新增到瀏覽器收藏夾內；
- 多渠道瞭解比對專案資訊：在瞭解一個專案的時候，可以先在公眾號、微博或 Twitter 等搜尋資訊，騙子維護多渠道的成本會比做一個假網站高很多。而這些渠道基本都會有真正的官網連結；
- 請教身邊可信的人：在瞭解錢包的時候，一定要找對行業有基礎認知，且現實生活中熟悉的人，最好當面請教。不要在微信群或者 Telegram 等即時通訊應用裡詢問，很容易上當受騙；
- 虛假網站一般是非常粗糙的，比如多語言環境，虛假網站一般都不支援多語言，即便支援也是機翻直譯，無法做到官網的細膩；
- 把上述方法或你認為有效的防騙知識，告訴身邊的朋友，構建「群體免疫」。
騙術橫生，防不勝防
除了上述詳細談到的虛假網站騙局外，最近還有幾種升級版騙局在危害錢包使用者：
1. 釣魚二維碼騙局（或稱風險合約授權騙局）
該騙局主要手法為，假設使用者錢包內原有 1000 個 USDT，騙子透過活動誘導使用者掃碼轉賬 1 個 USDT，但後來發現剩餘的 999 個 USDT 在沒有經過同意的情況下（輸入密碼簽名），就被轉走了。如果你想學習如何避免該類騙局，可以閱讀《安全提醒丨請警惕釣魚二維碼騙局》。
2. 空投誘餌騙局
該騙局目前主要滋生在波場鏈（Tron）上，以 OZBT 假空投為例，其主要表現形式為，使用者在錢包裡收到空投代幣的同時也會收到其代幣資訊，資訊會告知你獲得的 OZBT 空投可以在其去中心化交易所中兌換價值不菲的 TRX 代幣（如圖 3）。當你前往他們的交易所，嘗試進行兌換的時候，會發現進行的是 TRX（或者錢包裡其他有價值資產）的轉賬，也就是扣款轉賬。該騙局主要利用使用者收到空投後，想嘗試無損兌換（認為最多付出少量礦工費的代價），但卻忽略了轉賬詳細資訊，從而將錢包裡有價值的代幣轉給騙子。這有點像傳統戲法裡的障眼法。[1]
騙子會利用空投做誘餌讓使用者授權錢包 圖 3
3. 真假去中心化錢包騙局
如果說虛假網站是誘導你下載假錢包，那麼有些錢包則「放長線釣大魚」，把自己偽裝成去中心化錢包，利用其錢包發行代幣的增值作為誘餌，誘導使用者在錢包裡建立或匯入私鑰，同時將使用者私鑰上傳到伺服器中。比較典型的騙子專案是 LCS 和 MGC 等。如果你想更多瞭解該類騙局，可以閱讀《警惕丨LCS 錢包使用者請注意》。
魔道鬥法，一直在行動
據 imToken 使用者支援團隊不完全統計，2021 年 1 月至 6 月，imToken 接到詐騙等舉報 430 起，相較於 2020 年上半年增長了 35%。 根據 imToken 安全團隊提供的資料，今年五月份，imToken 共標記風險代幣 6 枚，封禁風險 DApp 網站 54 個，標記風險地址 4 個[2]。同時為了應對高風險 DApp 騙局，imToken 緊急釋出 2.9.2 版本，升級 DApp 瀏覽器風控系統，可以閱讀《imToken 2.9.2，DApp 瀏覽器安全風控再升級》瞭解詳情。
雖然市場逐漸迴歸到冷靜期，但餘溫仍在，最近也有不少熱點可以去「追」。但 imToken 團隊還是一致認為應該把注意力放在安全這件事上，我們的運營小夥伴也按捺住一顆推廣業務的心，精心準備了「錢包安全周」活動，透過答題，直播，社羣話題討論等形式，讓更多的使用者參與其中，瞭解最新騙局，避免更多人受災。點選瞭解詳情，希望你可以分享安全周活動，關心身邊人。
最後，題外話，為什麼要做「錢包安全月報」？
前文有提到，有些騙局在使用者剛進入這個行業的時候就產生了，還來不及找到「組織」，就被「拐走」了。任何一個專案的渠道都是有限的，能觸達的生命週期是從使用者「登陸」之後，這給騙局防範帶來了很大挑戰。許多剛剛接觸區塊鏈的使用者，因為騙局而喪失了信心，這對整個行業也是巨大的打擊。所以我們希望可以持續做一件事，滴水穿石，用時間和堅持抹平宣傳渠道的侷限性。
imToken 有上千萬的下載量，在這背後是龐大而真實的錢包使用者故事，我們身處一線，可以快速捕捉這類問題，一方面透過自身經驗幫助使用者解決，另一方面針對新型騙局，也可以反饋給社羣，避免更多的使用者受災。無論你是哪款錢包的使用者，都可以從我們的月報中有所收穫。
所以，希望你在關注「imToken 錢包安全月報」的同時，也把這份月報帶給身邊的人，帶給同處於區塊鏈圈子裡的朋友。在錢包安全面前，沒有「大佬」，只有失去之後的追悔莫及。
如果你有任何關於錢包安全方面的案件和素材，歡迎傳送到 [email protected]，也可以登入 https://imtoken.fans 安全專題和我們一起構建錢包安全社羣。
相關資料：
[1]波場上的詐騙代幣
[2]imToken 5 月風控資料
來源：imtoken錢包部落格，imToken 錢包安全月報 1 期：虛假網站猖獗，詐騙套路升級
