重點摘要 根據區塊鏈智慧合約審計公司 CertiK 數據，光是 2024 年第一季，在區塊鏈上就發生了 223 次駭客攻擊，盜走價值超過 5.02 億美元的數位資產。保管虛擬資產的「錢包」（Wallet），就是駭客最想鎖定的目標。 XREX 整理了 2024 兩大錢包盜取手法「冰釣攻擊」和「地址投毒」，搭配真實案例、實用建議與工具，跟你一起守護錢包安全。 文 / 鄭婷宇 Claire 「自己的錢自己管」雖然是區塊鏈技術的一大優點，但一不小心，辛苦累積的資產可能也會一夕之間消失。根據區塊鏈智慧合約審計公司 CertiK 數據，光是 2024 年第一季，在區塊鏈上就發生了 223 次駭客攻擊，盜走價值超過 5.02 億美元的數位資產。 保管虛擬資產的「錢包」（Wallet），就是駭客、詐騙集團最想攻破的寶庫，常見的手法有哪些？我的錢包有沒有危險？ XREX 整理了 2024 兩大錢包盜取手法，以及真實案例，搭配實用的建議與工具，跟你一起守護錢包安全。 兩大常見錢包詐騙手法 「冰釣攻擊」和「地址投毒」是兩大常見的加密貨幣錢包詐騙，前者，指的是奪走對方錢包的控制權，來盜取裡面的虛擬資產；後者，指的是用假地址矇騙用戶雙眼，誘使對方將款項轉到詐騙份子的錢包內。 這兩種手法，通常會搭配不同的詐騙劇本執行，共通點，都是會先用假的「好康」吸引受害者的注意力，接著一步步引導受害人，走進預先設置好的陷阱，神不知鬼不覺得打開受害者錢包，盜走加密資產。 冰釣攻擊：誘使受害人授權惡意交易，奪走錢包控制權 「搶先註冊！卡位超值的投資機會！」限時、充滿誘惑的文案包裝，容易讓人一不小心就上鉤，忽略了背後的陷阱與風險。 冰釣攻擊的詐騙者，通常會先營造一個緊張高壓的情境，讓受害者在慌亂中忽略查證，在倉促之下，簽署詐騙犯捏造的智慧合約，親手將自己的加密資產送給詐騙者。 冰釣與釣魚（phishing）攻擊的共通點，是都會誘使受害者點擊假的網站，但背後的目的不太一樣。 冰釣攻擊的目的，是要誘騙受害者簽署假的區塊鏈交易，並取得受害者的錢包權限；釣魚的目標，則是透過病毒、駭入等手法，獲取受害者的密碼、聯絡號碼等私人資訊。 常見的冰釣手法有以下三種，只要一不小心上鉤，就可能交出錢包控制權。 發送假交易請求：駭客將惡意交易，偽裝成合法的智慧合約，或看似無害去中心化 App（dApp）。 發送假的批准請求：駭客將惡意交易，偽裝成 dApp（去中心化應用程式，建構在區塊鏈上的 App） 的常規操作，並要求受害者批准請求，通常很難立即察覺陷阱。 更改交易內容：駭客偷天換日，更改交易細節，例如：將交易資產的目的地，從預定的交易對象，改成駭客的錢包。 真實案例： 親手奉上百萬美元無聊猿… ...閱讀更多

重點摘要 你也可以當鏈上偵探！區塊鏈上的金流走向公開透明且不可篡改，不法資金、巨鯨（持有大筆加密貨幣的人）動態，都能一覽無遺。 透過分析加密貨幣在區塊鏈上的流向，在「公私協力」下，可以更精準找出濫用區塊鏈技術的犯罪集團。 幣流追蹤為何越來越重要？這篇文章將從一般使用者、執法單位及加密貨幣業者的角度，回答這些疑問。 作者 / 鄭婷宇 Claire 人人都可以追蹤幣流，透過免費、公開的工具，查詢在區塊鏈上的金流走向，無論是不法資金還是俗稱為「巨鯨」的加密貨幣大戶錢包動態，都能一覽無遺。 今年（2024）四月，XREX 分析了有「台版 N 號房」之稱的創意私房事件，用來收款的四個區塊鏈錢包，並一路追查背後的收款者，最後整理成報告《XREX 分析台版 N 號房「創意私房」鏈上金流：誰是兒少性剝削背後獲利的人？》公開上線，並將這份完整報告提交給執法單位，做為後續案件調查的情資，成為加密貨幣交易所與執法單位合作的範例。 在監管時代，幣流追蹤為何越來越重要？哪些人需要理解幣流追蹤技術？這篇文章將從一般使用者、執法單位以及加密貨幣業者的角度，回答這些疑問。 幣流是什麼？為何人人都能查？ 要確認薪資是否入帳，或是這個月花了多少錢，打開銀行 App 查詢帳戶金流紀錄，是最快的方法。但是，銀行內的金流基本上都是由銀行自己紀錄與保管，除了知道自己的戶頭數字變化之外，其實沒有辦法知道其他的金流走向。 區塊鏈本身就是一套公開的去中心化的帳本，和傳統金融裡的帳本最大的不同，在於它的公開透明、不可篡改與無須特許，只要搭配正確的工具，人人都可以追蹤及分析區塊鏈上的金流，想了解常見的四款工具，可以參考先前 XREX 整理的「2024 四款必學幣流追蹤工具全解析」。 「幣流」指的就是加密貨幣在區塊鏈上的流向，透過分析一筆資金從一個錢包移轉到另一個錢包，深入了解這些鏈上交易的軌跡，可以進一步分析這之間的交易關係與樣態，而這需要結合使用者、執法單位以及交易所等多方專業，透過公私協力，再加上橫向與縱向的資源共相，就可以大幅降低產業與使用者的風險，在遇到不法活動時，也能快速且精準地找到犯罪集團的幕後黑手。 究竟，對於一般使用者、執法單位以及加密貨幣業者，這三個角色來說，幣流有什麼樣的意義？又為何要投入其中？ 圖說：「幣流」指的就是加密貨幣在區塊鏈上的流向。 一般用戶：評估交易安全性、把握投資機會 在網購下單前，多數人通常會先查詢商家的評論，確認商品的品質與賣家誠信，在交易加密貨幣前，也可以先做好做類似的「保險措施」，以降低風險。 台灣詐騙問題泛濫，根據台灣內政部警政署統計，2023 年的加密貨幣相關詐騙案，數量高達 11,405 件，財務損失金額高達新台幣 53.45 億元。 除了熟悉詐騙集團慣用的手法外，在交易前，還可以透過確認交易對象錢包地址過往交易紀錄，像是是否曾與詐騙者錢包地址有大量交易往來，避免掉入「地址投毒」或類似的詐騙手法。 舉例來說，在交易加密貨幣前，先將交易對象錢包地址，放上 OKLink、MistTrack 或 XRAY 等區塊鏈反洗錢分析工具上，分析該錢包的風險等級，快速確認交易對象，是否曾經在區塊鏈上經手過不法金流。 不僅如此，有許多專業的交易員會透過鏈上金流資訊，觀察俗稱為「巨鯨」，也就是擁有大量加密貨幣的大戶的動向，大筆資金的移動也都暗示著關鍵的市場投資機會。 來源：OKLink 來源：MistTrack 來源：MistTrack 加密貨幣業者：落實反洗錢與合規！打造可信賴交易環境 「誰願意自己辛苦做出來的金融平台，被當作詐騙的工具？」XREX 共同創辦人暨集團執行長黃耀文 Wayne，曾在《Web3… ...閱讀更多

重點摘要 錢包（Wallet）是區塊鏈世界中人人必備的工具，功能如同「護照」及「身分證」一樣重要，賦予用戶管理、存儲以及轉移數位資產的能力。 「實際的加密貨幣」並不存在區塊鏈錢包內，區塊鏈錢包最主要的功能是管理「私鑰」，錢包又可以細分為「冷錢包」、「熱錢包」以及「交易所錢包」三種類型。 區塊鏈錢包究竟是怎麼運作的？又該如何選擇適合自己的錢包？使用上有哪些風險需要注意？這篇文章一次幫大家搞懂。 文 / 元 YUAN 進入加密貨幣世界，區塊鏈錢包（Wallet）是人人必備的工具，錢包就像是加密貨幣世界中的「護照」及「身分證」，賦予用戶管理、存儲以及轉移數位資產的能力。 但你知道嗎？「實際的加密貨幣」並不存在區塊鏈錢包內，因為區塊鏈錢包管理的是「私鑰」，跟一般日常使用的街口支付、悠遊卡等，能夠儲值餘額的電子錢包不同。除此之外，區塊鏈錢包還可以細分為「冷錢包」、「熱錢包」以及「交易所錢包」三種類型。 XREX 推出「幣圈小白入門」系列文章，從錢包開始，帶大家一起深入了解什麼是區塊鏈錢包？背後的運作原理與類型，以及適合的使用場景。 我的比特幣不在錢包內？區塊鏈錢包到底是什麼？ 區塊鏈是一項公開透明的「分散式帳本」技術，所有的加密貨幣都是存在公開的區塊鏈上，要動用鏈上的加密貨幣或是虛擬資產，就必須要持有「私鑰」（Private Key），私鑰就是用戶交易和存取加密貨幣的唯一鑰匙，而錢包，就是用來管理「私鑰」的工具。 在傳統的金融系統中，要領取某個銀帳戶內的資金，靠的是「驗明正身」，銀行行員及系統，會透過查驗證件、生物辨識等方式，確認銀行帳戶所有人的身份；在區塊鏈世界中，是「認私鑰不認人」，只要持有私鑰，就可以存取該錢包鏈上的所有資產。 區塊鏈錢包的使用、管理權，都屬於錢包的擁有者，不屬於任何一家公司、組織及政府掌控。除了用來管理鏈上資產、進行轉帳之外，錢包也很像 Google、Facebook 及 LINE 帳號，可以代表用戶在區塊鏈世界中的身份。 在現今的網路世界中，不管是購物平台或是手機遊戲，大多都可以直接選擇「連結Google帳號」並進行綁定，省去一步步輸入個人資訊的繁瑣流程。 而錢包在區塊鏈世界中，也有類似的用法。只要透過「綁定錢包」，就可以與去中心化金融（ DeFi）或區塊鏈遊戲（GameFi）等各種鏈上的應用進行互動。例如許多去中心化社交協議，就可以透過綁定錢包帳號，與其他錢包主在線上聊天互動、轉錢分帳等。 圖說：「實際的加密貨幣」並不存在區塊鏈錢包內，所有的加密貨幣都是存在公開的區塊鏈上，要動用鏈上虛擬資產，就必須要持有「私鑰」（Private Key），私鑰就是用戶交易和存取加密貨幣的唯一鑰匙，而錢包，就是用來管理「私鑰」的工具。 錢包如何運作？私鑰、公鑰及地址又是什麼？ 錢包由私鑰、公鑰及地址三大重要元素組成，進一步與區塊鏈互動。 私鑰（Private Key，不可公開）：私鑰由一串 256 位數的隨機數組成，如同銀行 App 的密碼，是用來證明錢包持有人的依據，只有持有私鑰的人，才能使用、控制該錢包，因此絕對不能讓外人知道私鑰。但長達 256 位數的私鑰非常難記憶，因此，現在會以「助記詞」（recovery phrase），作為私鑰的另一種表現方式，助記詞通常會由 12 或 24 個英文單字組成，錢包持有者只需要記下助記詞，就能用來推導私鑰。 公鑰（Public Key，可以公開）：透過加密算法，所生成唯一與私鑰匹配的數據串，一個公鑰只會對應一個私鑰，主要的功能是生成加密貨幣地址，以及驗證交易簽名。透過私鑰轉換成公鑰非常容易，但是要透過公鑰轉換成私鑰是非常困難的。 地址（Address，可以公開）： 如同銀行的帳號，主要功能是收發虛擬資產，代表區塊鏈上的特定「位置」，是由公鑰透過一系列計算得來。 「私鑰、公鑰、地址」三者間的關係，是單向不可逆，只擁有地址，並無法逆向推導出私鑰和公鑰。私鑰及公鑰之間的關係，就像是解開錢包的兩把鑰匙，需要彼此搭配，才能解鎖打開。 每次用戶進行虛擬資產交易時，錢包就會使用私鑰來進行加密簽名，確認這筆交易是真的由用戶發起，之後會經由區塊鏈網絡的驗證，完成交易。 錢包分兩類：冷錢包、熱錢包、交易所錢包差在哪？ 加密貨幣錢包可以分為「熱錢包」、「交易所錢包」與「冷錢包」三大類。 熱錢包… ...閱讀更多