撰文: 山 & Liz

背景

近期慢霧安全團隊陸續收到多起被盜求助，在分析被盜事件後，我們發現多數被盜原因竟然是：知名項目方推特下方的釣魚留言導致！

隨後慢霧安全團隊做了針對性的分析統計：約有 80% 的知名項目方在發佈推特後，評論區的第一條留言會被詐騙釣魚賬號所佔據。鑑於釣魚團伙的自動化程度之高、部分加密貨幣從業者安全意識較低，本文將解析知名項目方評論區釣魚團伙的作案流程，給加密貨幣從業者以警示。

作案流程

1. 購買推特賬號。我們發現 Telegram 中存在許多售賣推特賬號的群，這些賬號有粉絲量、有一定數量的帖子、註冊時間也不一，買家可以根據需要挑選合適的賬號。翻看群裡的歷史記錄發現，該群裡售賣的多為加密貨幣行業相關的號以及網紅號。

 

除了 Telegram 上的賣號群外，還有專門賣推特賬號的網站。這類網站上售賣各年份的推特賬號，同時支持特定相似賬號購買，如用戶名與 Optimism（真賬號）高度相似的 Optimlzm（假賬號）。這類網站也接受加密貨幣付款。

(https://twitteraccseller.mysellix.io/)

2. 買到現成的賬號後，釣魚團伙會用推廣工具買粉絲互動，增加賬號可信度。這類推廣工具同樣支持加密貨幣付款，出售國外主流社交平臺的點贊，轉發，粉絲量等服務，買家輸入要推廣的鏈接和要求的數量即可購買。

(https://easyliker.ru/services)

據該平臺客服所說，僅該平臺就有超 130 萬筆訂單，已有兩萬人使用過他們的服務。

3. 經過以上的準備，釣魚團伙就獲得了一個有足夠多的帖子、粉絲的推特賬號，然後再將賬號裡面的信息照著項目方的賬號去模仿，這時對於一部分人來說這兩個賬號就有些真假難辨了。接下來就到了釣魚團伙實施釣魚的關鍵步驟：

• 自動化機器人關注知名項目方動態；

• 項目方發佈推特後，釣魚團伙的機器人會自動化第一時間留言以確保佔位第一條留言位置，蹭到高瀏覽量；

• 由於用戶正在瀏覽的帖子的真實項目方發送的，且經過偽裝後的釣魚團伙賬號和項目方的賬號高度相似，這時只要用戶放鬆警惕，點擊假賬號裡空投等名義的釣魚鏈接，然後授權、簽名，便會損失資產。

實例

1 月 12 號，Optimism 的官方推特號發送了一條推文，在這條推文下面的第一條評論就是釣魚團伙的發佈的，這條評論有很高的互動量，且附上了官網的鏈接，然而其文字部分的鏈接卻是個釣魚鏈接，見下圖。同日，慢霧 CISO @IM_23pds 在推特上發出警告，請廣大用戶警惕項目方評論區的高仿號釣魚。

（https://twitter.com/IM_23pds/status/1745662404300788120）

釣魚團伙利用了推特的改名機制，用戶可以修改自己的推特顯示名稱（Display Name），但這不會改變其在推特上的唯一標識，即推特的用戶名（Handle），通常以 @ 符號開頭。這個假賬號的顯示名稱改成了和官方號一樣的，都叫 Optimism，但是仔細看就會發現高仿號的用戶名和官方號有細微差別，假賬號將官方號的用戶名中的「is」換成了「lz」，這種釣魚手法在黑手冊中已有介紹。

 

MistTrack 分析

使用鏈上追蹤工具 MistTrack 查詢在 Telegram 上售賣推特賬號的人的地址 0xd02c75102ed941b26e318c0896c5b5aeb4ddc965，我們發現給這個地址轉賬的地址均被 MistTrack 標記為與釣魚、盜幣等行為相關的惡意地址，雙擊這些地址後，又追蹤到更多惡意地址，可見這個黑市之大。

 

應對措施

1. 反釣魚插件的優化。區塊鏈行業 90% 的 NFT 釣魚都跟虛假域名有關，有實時跟進釣魚虛假域名的提醒是關鍵，如用戶打開一個釣魚頁面，相關的插件、瀏覽器就能直接提示風險，這樣就沒有了後面騙簽名的可能，把風險阻斷在第一步。

2. 錢包所見即所籤、交互安全識別的功能。如果錢包有騙籤識別功能，能夠不錯的展示出用戶要簽名的詳細信息，如授權什麼、多少、給誰等人類可讀數據，那麼至少可以讓用戶一目瞭然的看到授權細節，建立最後一道屏障，攔住馬上要掉入陷阱的用戶。

3. 建立個人安全意識。任何的產品、文章、提醒都是輔助，建立自己的安全意識，在點擊鏈接，授權、簽名前都再三確認，才可以遠離丟幣、被騙的困擾。

 

總結

本文基於知名項目方推特評論區的釣魚留言現象，解析釣魚團伙的作案流程，希望幫助廣大用戶認識這一釣魚手法，提高警惕，避免資產被盜。

最後，建議閱讀慢霧出品的《區塊鏈黑暗森林自救手冊》以獲取更多安全知識。