在前一篇文章《Web3 資安教戰手冊：你不可不知的區塊鏈威脅手法與話術》中，我們討論了何謂 Web3、Web3 世界中的攻擊事件與損失數據報告、駭客入侵平台與用戶帳號的企圖，以及三種 Web3 攻擊與詐騙方式。本篇文章將接續討論另外六種 Web3 駭客攻擊與詐騙手法，延續前面三種，本篇將從第四種詐騙手法開始。
四、社群媒體免費贈送詐騙
我們每天都會使用的各種社群媒體，例如：在 Facebook、Instangram、Twitter 等等，都是駭客常用的工具。駭客會在社群媒體註冊假帳號或盜用其帳號，偽冒知名企業、政治與各領域知名人士的身份，發文宣稱要送出加密貨幣，例如：「向我發送 1 顆以太幣，我將返還 10 顆以太幣給你」，引誘看見貼文的人上鉤。
去年底，印度總理莫迪擁有超過七千萬人追蹤的推特帳號被盜，駭客就發文宣稱有免費的比特幣，要大家快來搶，因為是擁有藍勾勾認證的帳號，又是印度總理，很容易讓人信以為真，但是只要點擊貼文中的連結，就會面臨資安風險。
這些社群媒體上的貼文，引誘其他人去點擊特定連結，或是發送加密貨幣到特定地址以換取更多加密貨幣，這些都只是駭客用來吸金的話術。更可怕的是，在受害者向駭客索討受騙金額時，駭客還可能以「需要再向我發送 30% 手續費」等說法，再次行騙。
如何防範免費贈送詐騙呢？XREX 建議您：
- 多方驗證消息來源，請勿聽信任何免費贈送的廣告。
- 對於免費贈幣、以一換十這種「好得不真實」的活動，必須三思。
- 必須謹記，去中心化金融不存在反悔操作，錢轉出去就回不來了。
- 對任何轉帳或授權有關的錢包應用程式彈出式視窗，保持謹慎。
五、龐氏騙局 — 高報酬投資詐騙
「龐氏騙局」是大家經常聽見的名詞，但究竟什麼是龐氏騙局呢？基本上，龐氏騙局的運作模式是以投資為名，以高額回報誘騙受害者投資。龐氏騙局通常第一眼看，會覺得與普通證券基金的模式無異，但在龐氏騙局中，投資回報事實上是來自後面加入的投資者，而不是公司自身盈利。
龐氏騙局最初發生於 20 世紀初的美國，吸引第一批投資人之後，不斷再拉入更多投資人將資金投入項目。實際上，項目並沒有盈利，而是將後期投資人的資金變成了早期投資人的利息，今天我們經常聽到的「資金盤」或「老鼠會」，就是龐氏騙局的各種變體。
如何判斷龐氏騙局呢？龐氏騙局的常見特徵是模糊不清的經濟模型，也就是項目本身很難運作也不知其獲利來源，卻可以承諾投資人明顯不合理的高收益報酬率，從以下的平台與對話截圖就是實例。
如何防範龐氏騙局詐騙呢？XREX 建議您：
- 建議使用擁有牌照、合法合規且背後團隊清晰的交易所，例如 XREX 在美國、加拿大立陶宛、愛沙尼亞與台灣，都完成相關的登記、反洗錢規定以及許可，同時也正在申請新加坡與杜拜的執照。
- 勇於質疑，對於平台提供的消息與資訊必須再次驗證其真實性，不讓詐騙集團打模糊戰，例如: 套利與挖礦是否正相關、分析師履歷真實性等等。
- 思考報酬率是否合理、是否偏離市場行情，切忌 FOMO (Fear of missing out)。
六、項目方捲款跑路 Rug Pull
項目方捲款跑路又稱「拉地毯」(Rug Pull)，是加密貨幣中的一種詐騙形式。Rug Pull 一詞泛指項目方募集了資金之後就放棄經營項目，同時在發行代幣衝上一定價格時，短時間內拋售項目方手中的發行代幣，一瞬間使投資人擁有的發行代幣變得分文不值。
近年來最著名的，就是在 Netflix 韓國原創劇集《魷魚遊戲》掀起全球風潮，結果出現了一個利用戲劇噱頭發行的代幣魷魚幣（SQUID)，短短一星期內漲幅數十萬倍，卻又一瞬間崩盤，投資人血本無歸又無處求償。
Rug Pull 也可能發生在未經過資安審計的智能合約上，項目方可以透過在代幣合約裡留下後門，並在募集資金之後操控代幣供應量。
如何防範項目方捲款跑路 Rug Pull 呢？XREX 建議您：
- 挑選項目時，必須要先了解項目團隊的 Linkedin、研究項目的白皮書等資訊。一個正常的項目，白皮書的內容絕對不是空泛的，其中也必須包含、長期目標、項目所解決的問題、背後技術說明，以及團隊真實性等等。
- 大部分的項目會使用中心化或去中心化交易所進行募資，可以觀察項目代幣是否被前幾名去中心化交易所認證，並且透過鏈上數據分析，觀察項目代幣的交易量、流動性狀況。
- 確認智能合約是否有經過多家資安公司審查，以及審計報告是否有開源。
- 觀察社群媒體對該項目的討論熱度，是否有機器人炒熱流量。
七、助記詞釣魚 Seed Phrase Phishing
助記詞 (Seed Phrase) 通常是 12 到 24 組的英文單詞，設計原意是方便讓用戶管理錢包私鑰，當使用者忘記私鑰時，助記詞可用來恢復私鑰，並讓使用者重新訪問錢包。我們可以想像錢包私鑰就像是註冊在 Medium 帳號密碼，當你忘記密碼時，網站通常會提供「忘記密碼」的功能，欲恢復密碼會需要驗證註冊郵件信箱以及 Email 與一次性密碼 (one-time password, OTP)。
註記詞的設計用意是能夠透過密碼學達成「恢復密碼」的功能，所以只要任何人得到你的助記詞，就有權限訪問你的加密資產。
如何防範助記詞釣魚呢？XREX 建議您：
- 永遠不要洩漏助記詞，助記詞只會用來恢復錢包，沒有其他用途。
- 請妥善保管助記詞，會需要輸入助記詞的應用程式，一律是詐騙。
- 發現可疑網站即時回報，共同守護去中心化生態系的安全！
八、假冒錢包與插件
假冒的錢包或錢包插件，會套用正版錢包的介面與設計，讓用戶誤以為是項目官方的網站，但駭客實際上在假冒錢包與插件的後端程式碼偷設後門，駭客可竊取錢包的助記詞 (Seed Phrase) 來盜取使用者的資產。
如何防範假冒錢包與插件，避免安裝可疑行動應用程式呢？XREX 建議您：
- 永遠不要在越獄裝置或已 Root 裝置使用加密貨幣。
- 一定要從官方來源，如：Apple AppStore 或 Google Play Store 下載行動應用程式。
- (僅限蘋果 iOS) 不要安裝或信任來源不明的描述檔，這可能會使你在無意間安裝惡意程式。
九、批准授權詐騙 Approval Scam
除了讓受害者主動轉帳資產給駭客這類「傳統詐騙」以外，在智能合約中，可以設定使用者是否要授予 ERC20 Token 轉帳權給某地址。ERC20 Approve 的設計原意，是為了讓智能合約有權動用使用者的資產，舉例來說，使用者授予某套利合約轉帳權限，套利合約就可動用使用者的資產，在去中心化交易所自動地進行搬磚套利。
然而 ERC20 Approve 這樣的設計，也成為駭客濫用的工具。駭客透過釣魚手法，讓使用者在無意間簽署批准轉帳授權的交易，當使用者未嚴格確認自己所簽署的交易內容就送出時，駭客即可取得受害者錢包的資產轉移權，透過 ERC20 Token 合約的 transferFrom 功能，將受害者的資產轉移至自身錢包。
近期最知名案例，就是台灣歌壇天王周杰倫的 NFT 無聊猿遭盜，以及駭客濫用 NFT 平台 OpenSea 發動新型態詐騙，先是隨機空投用戶，之後故意在平台上炒高價格，出價引誘受害者至釣魚網站。
如何防批准授權詐騙呢？XREX 建議您：
- 不小心授權給不明地址時，請即時撤銷權限，避免進一步損失。
- 執行交易前請確認交易內容，避免執行到意料之外的操作。
- 發現可疑網站即時回報，共同守護去中心化生態系的安全！
- 定期檢視地址授權狀況，為不明地址撤銷權限，以下三個是常用工具：
結語
Web3 概念與應用還在相對早期，其去中心化的特性，確實可以為人類世界帶來巨大的變革，尤其是在金融領域。但於此同時，平台以及用戶也必須清楚地知道，Web3 世界中還是暗藏了許多風險，必須要時刻謹記並加以防範。
XREX 以資安起家，在用戶實名驗證、反洗錢機制與打擊不法份子上一直不留餘力，也與國際頂尖的區塊鏈金流追蹤夥伴結盟，包括萬事達卡旗下的 CipherTrace 與摩根大通投資的 TRM Labs，方能與銀行對接，共同打造一個乾淨的交易環境。XREX 的使命是「共同改寫金融定義」，希望可能透過分享相關的資安知識，在推進全球普惠金融的同時，也協助用戶保護其權益及資產。
本文是 XREX 資安團隊，針對近期常見的 Web3 攻擊手法與話術整理的介紹，希望可以協助更多人認識到自己與惡的距離，並隨時保持警覺，以免落入圈套。
在 Web3 應用快速發展的同時，駭客與不法分子的攻擊手法也快速變化，難以記錄下所有的可能性，下方 XREX 資安團隊也精選了幾篇與資安相關的文章，希望提升所有 Web3 參與者對於資安的意識與警醒。
共同編撰：Sun Huang / Wolf Chan / Seal Cao 曹富翔 / Yoyo Yu 尤芷薇
相關文章：
XREX 官方聲明：切勿向他人提供帳號資訊，免淪詐騙集團車手
XREX揭露比特幣詐騙集團 N-Fiverr 之手法、工具、人頭戶、金流、錢包、網域、IP
慢霧出品：区块链黑暗森林自救手册 || 掌握这些，掌握你的加密货币安全。
