網路安全公司慢霧（SlowMist）研究了旗下調查部門 MistTrack 於 2024 年第二季收到的受害者求助訊息，以分析常見或罕見的駭客攻擊手法。在對其收到的 467 份被盜表單進行統計後發現，私鑰洩漏、釣魚和詐騙是上季度最常見的三種加密貨幣被盜原因。

私鑰洩漏

根據慢霧在週二（2日）發布的報告，受害者私鑰洩漏的主因包括將私鑰/助記詞儲存在如 Google 文件等各種雲端儲存服務中。該報告還警告說，透過微信（WeChat）等通訊軟體發送助記詞等敏感資訊也會帶來風險，儘管這些平台採用如端對端加密等安全措施。慢霧團隊寫道：

「這些看似提高了訊息安全的行為實際上都極大地增加了訊息被竊取的風險。駭客經常利用「憑證填充」（Credential Stuffing）手法，嘗試透過網路上發現的已洩漏帳號憑證資料庫來登入這些雲端儲存服務。如果成功，他們能輕易找到並竊取與加密貨幣相關的資訊。」

慢霧還指出攻擊者也會採用其他詐欺手法來誘騙錢包用戶的助記詞，例如冒充客服人員、透過 Discord 等平台發送釣魚連結。慢霧提醒說，在任何情况下都不應把私鑰或助記詞透露給任何人。

假錢包 App

此外，下載到假裝成熱門加密貨幣錢包 App 的假錢包也被指出是私鑰洩漏的主要原因之一，這些應用程式主要存在於第三方應用程式商店中。慢霧表示，團隊曾經發現在第三方應用商店 APKCombo 上提供的 imToken 錢包的某一版本是一個不存在的版本，「且是目前市面上假 imToken 錢包最多的一個版本」。此外，甚至有一個罕見的案例是，用戶因下載到假的 Twitter 應用而導致私鑰或助記詞被竊取。

根據《crypto.news》報導，這類假應用程式並不是只會出現在第三方應用商店中，上週，一個假冒的 Phantom 錢包繞過了蘋果（Apple）應用商店的安全措施，從任何將私鑰導入該應用的人那裡盜取加密資產。據報導，這個假 App 已從應用商店中被移除。

網路釣魚

慢霧指出了加密貨幣用戶被盜的其他原因還包括社交媒體平台上的釣魚連結和騙局，遭遇釣魚攻擊的主因是點擊到詐騙集團發布在知名加密貨幣專案帳號下的釣魚連結評論，若用戶接著進行授權和簽名，就有可能導致資產損失。

該報告指出，這些假帳號的個人資料或推文內容往往與真正的官方帳號相似，詐騙集團甚至會採用推廣工具來提升假帳號的互動和追蹤人數，以此提高帳號的可信度。慢霧建議用戶採取人員安全意識防禦和技術手段防禦等策略來加以防範，包括借助各種軟硬體工具來確保資產和訊息安全，如釣魚風險阻斷插件 Scam Sniffer。

相關文章：《花小錢釣大魚，慢霧揭秘 1155 WBTC 釣魚事件》

貔貅盤騙局

在詐騙方面，慢霧指出最常見的手法是「貔貅盤」，其收到的第二季被盜表單所提到的大部分貔貅幣發生在 BNB 智慧鏈（BSC）上。詐騙集團通常會誘騙受害者購買只能買不能賣的貔貅幣，並透過拉盤製造快速升值的假象，以誘使受害者加大投資。慢霧還指出，許多市場參與者在當今迷因（Meme）風盛行的同時追逐這波「土狗熱」，「卻無意中步入貔貅盤的陷阱，購買後再也無法將其出售」。

慢霧團隊建議用戶在進行交易前，應先對代幣進行檢查和確認，包括使用像 MistTrack 或 GoPlus 的安全檢測工具來查看代幣相關地址的風險情况、在區塊瀏覽器上檢查智能合約代碼是否經審計和驗證、閱讀相關評論、查閱項目方背景以及提高自我防範意識。

資料來源：慢霧（SlowMist）、crypto.news