加载中 ...
首页 > 股票 > 区块链 > 正文

黑客开始瞄准 NFT 这份 NFT 防盗入门指南请收好

2022-05-07 11:20:57 来源:广东财经网

学会安全存储你的 NFT 资产,并避免遭受诈骗。

原文标题:《NFT 防盗指南:如何保护资产安全?》

随着 NFT 用户数、交易量和市值的不断攀升,钓鱼者、黑客等不法分子也开始瞄准这个市场,进一步威胁 NFT 生态的安全。

区块链安全和数据分析公司 PeckShield 编写的表格显示,在一次钓鱼攻击中,254 个总价值约为 170 万美元的 NFT 遭到盗窃;愚人节当天周杰伦的 NFT BAYC#3738 被盗走,该事件是典型的由钓鱼网站诱导 mint 从而获得用户 NFT 操作权的案例;一个名为 MoonManNFT 的项目,该项目借由 free mint 的名头,盗走了近 400 个 NFT……

一般来说,黑客会通过 Discord 和 Telegram 锁定收藏者,并通过诱导 mint、钓鱼攻击等方式盗走用户的 NFT 资产。随着当下技术发展,NFT 投资者和收藏者必须及时了解保护资产的最新方法。

NFT 安全存储基本知识

请牢记:

你的 NFT 并非储存在电脑或移动设备上,而是在 IPFS 或 Arweave 这样的去中心化空间。

拥有私钥,就有了对区块链 / 你的资产的完全访问权限。

Shamir 私钥分割方案能为助记词提供二级保护。

1. 你的 NFT 储存在哪里?

NFT 并非储存在冷钱包、PC 端或热钱包中。NFT 是位于以太坊区块链上的代币,由全球 2400 多个运行中的网络节点承载。NFT 受到完全去中心化系统的支持,它能确保 NFT 生态正常运转,也能够验证线上交易。当你进行 NFT 交易时,实际发生的活动是数据库对该 NFT 的地址进行更改。

2. 你的图片、动图和音乐在哪里?

NFT 的 URI(统一资源标识符)标记了图片的位置。NFT 一般位于像 IPFS 或 Arweave 等去中心化存储空间。在 Web2 中,也有 AWS 这样的中心化存储器。

3. 钱包

钱包是一个储存私钥的软件,能够支持交易活动。钱包分为两种:热钱包(软件钱包)和冷钱包(硬件钱包)。

热钱包(软件钱包):能够在通用设备上运行的软件,能 Web3 连接,只需点击鼠标就能接收资产。

冷钱包(硬件钱包):专用于硬件设备,能与 Web3 连接并接收资产。它与热钱包的主要区别是,冷钱包的助记词从不联网,若要进行交易,必须通过物理手段(比如触摸屏)批准。

选择了合适的钱包后,你需要了解它的功能:

首先,热钱包 / 冷钱包会要求你创建一个密码,此密码在特定设备上是唯一的。只有知道密码,才能访问钱包。

你可以自由分享钱包的公共地址,此地址与 Web3 的电子邮件地址没有区别,知道了你的地址,任何人都能向你发送 NFT。这也就催生了新的黑客攻击载体。黑客会向人们发送 NFT,当人们与该 NFT 互动时(比如将其发送至另一钱包,或出售它),黑客就会窃取此人钱包中的资产。请谨记,不要点开陌生 NFT!此外,人们也会利用流氓签名或批准来获取你的 IP 地址。

钓鱼邮件也是寻常的诈骗方式。邮件的目的是引诱你把钱包连接到虚假网站,以便黑客窃取资产。所以,千万不要点开陌生链接!务必时时检查网站名称。目前黑客攻击的方法比较单一,只能从公共地址和电子邮件下手,只要不理会它们就可以了。

你要保管好私钥,它是访问你的公共地址的密码,私钥的功能有:

(1)将你的 NFT 移出地址。

(2)签署合同,来证明你拥有该地址的私钥(类似于验证你拥有该公共地址)。

公共地址和私钥最大的区别是,你永远也不能向任何人透露自己的私钥。否则,他们就能把你的私钥导入他们的钱包,窃取你所有的资产。

明确了私钥和公共地址的概念,我们再来看一下助记词。助记词一般由 12、18 或 24 个单词构成,用于找回钱包。如果丢失私钥,你可以使用助记词新建一个。与私钥一样,助记词永远不能被第二个人知道,也不能存储在电子存储设备或服务商中(比如 google drive、icloud、相簿、手机便签和副本)。最理想的方式是物理存储,比如写在纸上。有人也使用铁制品存储助记词,因为它更加防火。其他方式,例如口令,也能增加钱包安全性。口令是一串符号或单词,将其与助记词结合,就能在原有钱包的基础上创建新钱包。打个比方,若要在原有钱包的基础上创建新的钱包,只需输入:

助记词 + 「NFTGo」

助记词 + 任意数字

助记词 + 任意字母

助记词 + 任意短语

上述任一方式都能创建一个具有不同私钥公共地址的新钱包,但口令这一功能只对冷钱包适用。

4. 添加第二层保护

购买冷钱包是提升安全性的有效途径。Trezor,Ledger 和 Keystone 是几款最受欢迎的硬件钱包,但各自有优势和不足。每种冷钱包都有其特色。比如 Keystone 使用二维码进行数据传输,避免了木马病毒通过 USB 接口或者蓝牙被传输到硬件钱包的风险,同时也是首个支持 ENS (Ethereum Name Service) 的硬件钱包,免去了核对原始地址的麻烦。此外,用户可以用 NFT 自定义其 4 英寸的屏幕。

我们以 Keystone 为例进行设置。

(1)从官方网站购买 Keystone 钱包。

(2)安装 Keystone 套件。

(3)启动 Keystone。

(4)设置你钱包的 PIN—— 专属于此设备的口令。

(5)如果是企业使用的话,推荐使用 Shamir 私钥分割方案,把 2 组助记词分成 3 组,或把 3 组助记词分成 5 组,你可以把这 3 组私钥保存在不同地方。如果你有 5 个 Shamir 备份中的 3 个并且丢失了其中 2 个,你仍然可以使用剩余的 3 个备份来恢复您的钱包。

我们以转移一个 BAYC 为例具体来看 NFT 硬件钱包的使用。在 Keystone 中,用户可以使用 microSD 卡中上传的 ABI 数据文件快速确认地址的真实性,地址旁边会出现蓝色字体的「Board Ape Yacht club」,还需要确认该交易是否涉及任何恶意行为,以免将您的 NFT 签署给诈骗者或黑客。

黑客开始瞄准 NFT 这份 NFT 防盗入门指南请收好

避免 NFT 诈骗的方法

1. 务必从官网下载 Web3 app 或钱包

导致加密 / NFT 黑客攻击的主要原因是用户对非官方网站的访问。绝大多数此类网站是为了行骗而建立,看上去与官方网站极其相似。不要从 Google Play 下载 Web3 app,它们可能不是从原始渠道获取的。你可以参考以下建议,来鉴别官方网站:

(1)关注网址栏。只点击以 https:// 开头的网址(不要点 http://!),「s」代表「安全」,表示该网站的数据是加密传输的,能阻止黑客攻击。

(2)检查域名。黑客最青睐的伎俩就是创建山寨网站,其域名与正版网站十分相似,只有双击才能察觉区别。例如,https://wobble.com 这个网站的山寨版可以是 https://w0oble.com。请记得时时双击域名的所有字母。

(3)留心拼写错误。多数虚假网站是粗糙赶工而成,拼写、读音、大小写和语法都会出错。

2. 只浏览官方频道、官方推特和官方链接

前面提到,你只能相信官方网站、推特账号和 discord。你可以参考下列建议来验证:

(1)检查账户活动。

(2)检查粉丝数。

(3)检查账户历史。

(4)检查评论和参与度。

3. 不要与任何人共享登陆凭证或私钥

有句话在加密圈十分流行:「无钥即无币,币钥为一体」。一旦你的私钥或助记词被分享出去,这个账户就再也不属于你了。最好的做法,是不让其他人拿到私钥。

4. 先验证 NFT 再购买

在 NFT 生态系统中,尽职调查总是非常重要。购买或铸造 NFT 之前,务必要检查项目涉及到的团队的声誉,其社区中的有机互动,以及人们对该项目的看法。

5. 使用多个钱包铸造 NFT

比如,Burner 钱包是专为 NFT 铸造创造的二级钱包。这些钱包都是以铸币所需的 gas 数额来创建并注资。铸币完成后,铸成的 NFT 被发送到另一个钱包,它的作用是存储 NFT。这就减少了主钱包与易被攻击网站互动的风险。你可以创建多个 burner 钱包,一旦发现漏洞,就立即丢弃它。

6. 谨慎点击陌生账户的链接

黑客的常见骗术,是通过陌生的 Discord 账户或冷邮件发送赠品或白名单链接。务必将 Telegram、Discord 和邮件设置为不接收陌生账户或非官方地址的消息,也请提防用户假扮群主或官方 DM 你。

7. 检查令牌批准 & 撤销不使用的令牌

人们每天都与不同的协议和链接互动,基于智能合约上的信息给予其访问权限和许可。时常审查和撤销访问权限十分重要。https://revoke.cash/ 网站可以帮您取消访问权。

8. 进行下一步之前,仔细阅读并核实智能合约的交易条款

确认交易前,务必确保自己认真阅读了智能合约中的每个细节。很多黑客利用智能合约骗取许可,从而随意访问你钱包中的资金。你要认真阅读,确保合约中的细节不会构成威胁,也不是存在漏洞。

9. 紧跟新闻,了解新漏洞

结语

人们对 NFT 市场的兴趣日益增加,不法分子也潜伏其中,利用伎俩从收藏者和投资者手中偷取作品和资金,请确保自己的宝贵资产、钱包和资金不落入黑客手中。

“广东财经网”的新闻页面文章、图片、音频、视频等稿件均为自媒体人、第三方机构发布或转载。如稿件涉及版权等问题,请与

我们联系删除或处理,客服邮箱1098101642@qq.com,稿件内容仅为传递更多信息之目的,不代表本网观点,亦不代表本网站赞同

其观点或证实其内容的真实性。

  • 声音提醒
  • 60秒后自动更新
  • 【民政部回应何时恢复婚姻登记】民政部社会事务司二级巡视员杨宗涛表示,婚姻登记场所是人群聚集场所,部分地区暂停婚姻登记工作是对人民群众安全负责。未停止登记的地方推广用电话、网络、qq群预约登记,控制登记人数,分批分段登记,减少人员聚集和在登记机关停留时间。已停止婚姻登记地方将根据当地疫情控制情况逐渐恢复。

    15:54
  • 欧洲央行副行长金多斯:欧洲央行还没有达到逆转利率。宽松政策的副作用更明显了。

    15:54
  • 财经网站Forexlive分析师Justin Low评瑞士1月CPI月率:尽管通胀年率保持稳定,但核心通胀率有所下降,这一点令人更加担忧。这只是进一步巩固了瑞士央行维持现有货币政策不变,并可能在未来寻求更多宽松措施的观点。

    15:54
  • 【武汉两大批发市场商户开业率超过80%】商务部市场建设司司长朱小良10日称,目前武汉生活必需品供应基本正常,除冷鲜肉、鲜叶菜等少数品种存在结构性短缺外,大部分重要生活物资供应充足,未发生明显抢购或脱销断档情况。当地白沙洲和四季美两大批发市场正常营业,商户开业率超过80%,日交易量上升至3000吨以上。(国是直通车)

    15:53
  • 【日本2019年经常项目顺差增长4.4%】日本财务省10日发布的国际收支初步统计报告显示,主要受外国人入境游消费扩大影响,2019年日本经常项目顺差增长4.4%。报告显示,2019年日本经常项目顺差为20.06万亿日元(1美元约合109.8日元)。其中,商品贸易方面,由于液化天然气价格下跌等因素,进口下降5.6%至75.56万亿日元;由于汽车部件及钢铁等产品出口减少,出口下降6.3%至76.12万亿日元。货物贸易顺差减少53.8%,为5536亿日元。(新华社)

    15:53
  • 欧元兑美元EUR/USD短线波动不大,现报1.0952。

    15:53
  • 瑞士1月CPI年率:0.2%,前值:0.2%,预期:0.1%;瑞士1月CPI月率:-0.2%,前值:0%,预期:-0.2%。

    15:52
  • 英镑兑美元GBP/USD短线走低13点,现报1.2890。

    15:52
  • 【宁德时代“供电”国产特斯拉 有望拉低售价20%】全国乘联会秘书长崔东树分析认为,“随着特斯拉国产化率提升和产能爬坡,未来特斯拉国产车型的价格下探空间还是很大的。”他预计今年下半年,国产Model 3车型的售价就有望降至25万元,降幅接近20%。(新京报)

    15:51
  • 【内蒙古:对不裁员或少裁员企业返还上年度50%失业保险费】据内蒙古新型冠状病毒肺炎疫情防控工作指挥部消息,疫情期间,内蒙古对不裁员或少裁员的企业返还上年度实际缴纳失业保险费的50%,对面临暂时性经营困难的中小企业,返还标准提高到上年度6个月企业及其职工缴纳社会保险费的50%。

    15:51
  • 【商务部:2019年服务进出口总额54152.9亿元 同比增长2.8%】商务部新闻发言人表示,2019年,在服务贸易创新发展试点等政策的激励下,我国服务贸易总体保持平稳向上态势,逆差明显下降,结构显著优化,高质量发展成效初步显现。全年服务进出口总额54152.9亿元(人民币,下同),同比增长2.8%。其中,出口总额19564.0亿元,同比增长8.9%;进口总额34588.9亿元,同比减少0.4%。(第一财经)

    15:51
  • 【振华股份:疫情导致下游客户开工推迟 产品库存上升】振华化学公告,公司目前生产经营稳定,所有产能均正常开工,原材料采购能基本满足生产需要,由于疫情导致下游客户开工推迟,公司出货量减少,产品库存有所上升。公司将根据客户需求、疫情及市场变化,适度调整生产经营策略,尽可能保持生产经营的稳定。

    15:50
  • 环旭电子2月10日晚间公告,公司2020年1月合并营业收入为23.27亿元,较去年同期的合并营业收入减少27.83%,较2019年12月合并营业收入环比减少37.23%。

    15:49
  • 精测电子:与京东方集团签订了多份销售合同,合同累计金额达到6.96亿元。

    17:12
  • 华夏银行:银保监会同意本公司在全国银行间债券市场发行不超过100亿元人民币的金融债券,募集资金全部用于绿色信贷。

    17:03