![](https://www.bitpush.news/wp-content/themes/Gztro/assets/img/logo.png)
Web3 安全入门避坑指南|钱包被恶意多签风险
背景
在上一期 Web3 安全入门避坑指南中,我们主要讲解下载/购买钱包时的风险,找到真官网和验证钱包真伪的方法,以及私钥/助记词的泄露风险。我们常说 “Not your keys, not your coins”,但也存在即使你有私钥/助记词,也无法控制自己资产的情况,即钱包被恶意多签了。结合我们收集到的 MistTrack 被盗表单,一些用户的钱包被恶意多签后,不明白为什么自己钱包账户里还有余额,却无法把资金转出。因此,本期我们将以 TRON 钱包为例,讲解多签钓鱼的相关知识,包括多签机制、黑客的常规操作及如何避免钱包被恶意多签等内容。
多签机制
我们先简单解释下什么是多签,多签机制的本意是为了使得钱包更安全,允许多个用户共同管理和控制同一个数字资产钱包的访问和使用权限。尽管部分管理者丢失或泄露了私钥/助记词,钱包里的资产也不一定会受损。
TRON 的多重签名权限系统设计了三种不同的权限:Owner、Witness 和 Active,每种权限都有特定的功能和用途。
Owner 权限:
-
拥有执行所有合约和操作的最高权限;
-
只有拥有该权限才能修改其他权限,包括添加或移除其他签名者;
-
创建新账户后,默认为账户本体拥有该权限。
Witness 权限:
这个权限主要与超级代表(Super Representatives) 相关,拥有该权限的账户能够参与超级代表的选举和投票,管理与超级代表相关的操作。
Active 权限:
用于日常操作,例如转账和调用智能合约。这个权限可以由 Owner 权限设定和修改,常用于分配给需要执行特定任务的账户,它是若干授权操作(比如 TRX 转账、质押资产)的一个集合。
上文中提到,新建账户时,该账户的地址会默认拥有 Owner 权限(最高权限),可以调整账户的权限结构,选择将该账户的权限授权给哪些地址,规定这些地址所占权重的大小,以及设置阈值。阈值是指需要签名方权重到达多少才能执行特定操作。在下图中,阈值设置为 2,3 个被授权地址的权重都为 1,那么在执行特定操作时,只要有 2 个签名方的确认,这个操作就可以生效。
(https://support.tronscan.org/hc/article_attachments/29939335264665)
恶意多签的过程
黑客获取用户私钥/助记词后,如果用户没有使用多签机制(即该钱包账户仅由用户一人控制),黑客便可以将 Owner/Active 权限也授权给自己的地址或者将用户的 Owner/Active 权限转移给自己,黑客的这两种操作通常都被大家称为恶意多签,但其实这是一个广义的说法,实际上,可以根据用户是否还拥有 Owner/Active 权限来区分:
利用多签机制
下图中,用户的 Owner/Active 权限未被移除,黑客给自己的地址授权了 Owner/Active 权限,此时账户由用户和黑客共同控制(阈值为 2),用户地址和黑客地址的权重都为 1。用户虽然持有私钥/助记词,也有 Owner/Active 权限,但无法转移自己的资产,因为用户发起转出资产请求时,需要用户和黑客的地址都签名,这个操作才能正常执行。
虽然被多签的账户执行转出资产的操作需要多方签名的确认才可以实现,但是向钱包账户入账是不需要多方签名的。如果用户没有定期检查账户权限情况的习惯或者近期没有转出操作的话,一般不会发现自己钱包账户的授权被更改,那么便持续受损。如果钱包内的资产不多,黑客可能会放长线钓大鱼,等待该账户积累了一定数字资产后,再一次性盗取所有数字资产。
利用 TRON 的权限管理设计机制
还有一种情况是黑客利用 TRON 的权限管理设计机制,直接将用户的 Owner/Active 权限转移给黑客地址(阈值仍为 1),使得用户失去 Owner/Active 权限,连“投票权”都没有了。需注意,此处黑客并不是利用多签机制使得用户无法转移资产,但大家习惯上称这种情况也为钱包被恶意多签。
以上两种情况造成的结果是一样的,无论用户是否还拥有 Owner/Active 权限,都失去了对该账户的实际控制权,黑客地址获得了账户的最高权限,可实现更改账户权限、转移资产等操作。
恶意多签的途径
结合 MistTrack 收集到的被盗表单,我们总结出了几种钱包被恶意多签的常见原因,希望用户遇到以下几种情况时,提高警惕:
1. 在下载钱包时,未能找到正确的途径,点击了电报、推特、网友发送的假官网链接,下载到假钱包,结果私钥/助记词泄露,钱包被恶意多签。
2. 用户在一些出售加油卡、礼品卡、VPN 服务的钓鱼充值网站输入了私钥/助记词,结果失去自己钱包账户的控制权。
3. OTC 交易时,被有心之人拍到私钥/助记词或以某手段获取账户的授权,随后钱包被恶意多签,资产受损。
4. 一些骗子把私钥/助记词提供给你,称他无法提取钱包账户里的资产,如果你能帮忙的话可以给你酬劳。虽然这个私钥/助记词对应的钱包地址确实存在资金,但无论你给多少手续费、手速多快都提不走,因为提币权限被骗子配置给了另一个地址。
5. 还有一种较为少见的情况是用户在 TRON 上点击了钓鱼链接,签名了恶意的数据,随后钱包被恶意多签。
总结
在本期指南中,我们主要以 TRON 钱包为例,讲解了多签机制、黑客实施恶意多签的过程和套路,希望帮助大家加深对多签机制的理解和提高防范钱包被恶意多签的能力。当然,除了被恶意多签的情形之外,还存在一些比较特别的案例,有的新手用户可能因操作不慎或缺乏了解,误将钱包设置成了多签,导致需要多个签名才能进行转账。此时,用户仅需满足多签要求或在权限管理处将 Owner/Active 权限只授权给一个地址,恢复单签即可。
最后,慢雾安全团队建议广大用户定期检查账户权限,查看是否有异常;从官方途径下载钱包,我们在 Web3 安全入门避坑指南|假钱包与私钥助记词泄露风险里讲过如何找到正确的官网和验证钱包的真伪;不点击不明链接,更不轻易输入私钥/助记词;安装杀毒软件(如卡巴斯基、AVG 等)和钓鱼风险阻断插件(如 Scam Sniffer),提高设备安全性。
比推快讯
更多 >>- 5000万枚USDC从USDC金库转移到Coinbase
- 美 CFTC 提出紧急动议,要求阻止 Kalshi 上市选举预测合约
- 美国现货比特币 ETF 累计总价值跌至 5 月 1 日以来最低
- 本周美国比特币现货ETF累计净流出7.061亿美元,富达 FBTC 占比最高
- 截至8月末Paxos美元稳定币PYUSD流通总额超9亿美元
- 本周美国以太坊现货 ETF 累计净流出 9110 万美元
- 萨尔瓦多庆祝比特币采用三周年,已获利 3100 万美元
- 马斯克发布AI合成《黑神话:悟空》个人形象图,相关meme币SunWuKong暴涨62.5%
- 戴尔公司创始人迈克尔·戴尔发推:“享受比特币”
- Shiba Inu达成里程碑:Shibarium成功铸造14万NFT,K9 Finance即将推出质押服务
- 比特币价格跌破53,000美元,当前为52,679.77美元,跌幅6%
- 标普500指数本周累跌4.25%,创2023年3月以来最大单周跌幅
- 纳斯达克100指数本周累跌5.89%,创2022年11月以来最大单周跌幅
- 多链 NFT 市场 Magic Eden日交易量激增至 6000 万美元
- Solana 链上游戏项目 Sonic SVM 计划以 1280 万美元出售HyperGrid节点
- 美国银行预计美联储将在接下来的五次会议上各降息25个基点
- 比特币日内大跌5%,现报53364美元
- 纽约法官命令 SEC 提供 Coinbase 案的部分文件,但不包括 Gensler 的相关文件
- 以太坊日内跌幅达5%,现报2250美元
- 美国前财长:就业疲软使美联储离降息50个基点更近一步
- 市场消息:法官将特朗普在封口费案件中的判刑推迟至11月26日
- ZK Nation:ZKsync治理合约已准备好在主网上线
- 美股延续跌势,纳指跌2.48%
- 巴克莱分析师上调 Coinbase 和 Robinhood 评级,称其商业模式“成熟”
- Coinbase将ZKsync (ZK)列入上币路线图
- 美联储古尔斯比:如果维持这种紧缩水平,经济衰退的可能性可能会上升
- 美联储古尔斯比:未来几个月的降息路径更为重要,美联储内部普遍共识是将进行多次降息
- 分析师:市场对沃勒讲话反应过头,仍未有明确证据支撑50个基点的降息
- 恐惧与贪婪指数跌至一个月低点,降至“极度恐惧”区域
- 比特币跌破54000美元
- ETH短线跌破2300美元
- “美联储传声筒”:沃勒并未明确提到降息幅度,注意讲话中提到的“如果”
- 交易员现在押注美联储将在9月份坚持降息25个基点,11月份降息幅度更大
- 美联储理事沃勒:如果有必要,支持更大幅度的降息
- 美国利率期货目前定价美联储9月份将降息50个基点
- 美联储理事沃勒:如果合适,将支持“提前”降息
- 孙宇晨:SunPump已完成价值1200万美元SUN代币销毁
- 某波段巨鲸过去10分钟买入5379枚ETH,价值1258万美元
- 美联储威廉姆斯:尚未准备好说明首次降息幅度应有多大
- Axios:美国前总统特朗普将出庭就诽谤案进行上诉
- 第 141 次以太坊ACDE会议:Pectra devnet 2 的调试工作即将完成,Pectra devnet 3 发布时间待定
- 机构分析:非农预期过高,预计美联储9月将降息25个基点
- BTC跌破55000美元
- CryptoQuant:自2022年9月以太坊合并以来,ETH/BTC汇率下跌44%
- 俄罗斯去年开采约 5.4 万枚 BTC,价值超 30 亿美元
- 灰度向某无明确标记地址转移 700 枚 BTC
- 灰度向 Coinbase Prime 地址转移 3127 枚 ETH
- 某聪明钱地址过去20分钟清仓5263枚ETH,约合1263万美元
- 花旗:在需求疲软情况下,加密货币预计将与股市保持高度相关性
比推专栏
更多 >>观点
项目
比推热门文章
- 5000万枚USDC从USDC金库转移到Coinbase
- 【比推一周web3新闻精选】以太坊基金会:主钱包价值约 6.5 亿美元,有约十年的资金储备;Axios:赵长鹏或将终身无法在币安担任任何领导职务;支持哈里斯的超级政治行动委员会通过Coinbase Commerce接受加密捐赠
- 美 CFTC 提出紧急动议,要求阻止 Kalshi 上市选举预测合约
- 美国现货比特币 ETF 累计总价值跌至 5 月 1 日以来最低
- 本周美国比特币现货ETF累计净流出7.061亿美元,富达 FBTC 占比最高
- 截至8月末Paxos美元稳定币PYUSD流通总额超9亿美元
- 本周美国以太坊现货 ETF 累计净流出 9110 万美元
- 萨尔瓦多庆祝比特币采用三周年,已获利 3100 万美元
- Ripple联合创始人成为卡马拉·哈里斯的新企业支持者
- BTC 生态大地震,Ordinals 创始人发布檄文讨伐「石本聪」