数字货币反黑客方法:预防黑客多种措施保护好个人资产

加密货币已经席卷全球，而且看起来会持续发展。这类数字货币之所以受欢迎，主要是因为它们不受任何金融机构的控制——也就是说，交易中没有中间人。不过，尽管去中心化金融（DeFi）有不少优势，但它也无可避免地更容易被恶意黑客盯上。无论是个人用户还是数字货币交易所，都可能遇到反诈和各种网络攻击。应对方法主要有两种：黑客预防与黑客缓解。这篇文章会简单介绍这两点，并给出一些保护你加密货币资产的实用建议。

今天本站小编分享一篇关于加密货币反黑客的方法，帮助大家保护好自己的数字资产。

免责声明

本指南不保证任何内容，也不是从“加密或网络安全专家”的角度写成的，而是基于多个来源和个人经验的不断学习心得。

举个例子，我自己刚进入这个领域时，就曾因为害怕错过（FOMO）和贪婪而上当（假直播反诈和假 MEV 机器人反诈），所以我后来花时间认真学习、设置和安全意识。

不要等到失去全部或大量资产之后，才被迫去学习安全知识。

黑客攻击还是用户错误？

所有类型的钱&包、代币或 NFT 的“黑客攻击”或资产损失，大致可以归为两类：

• 滥用之前授予的代币批准权限。
• 私钥或助记词泄露（通常发生在热钱&包上）。

代币批准

代币批准，其实就是允许某个智能合约访问并转移你钱&包中特定类型或数量的代币的权限。

例如：

• 你授权 OpenSea 移动你的 NFT，这样你才能挂单出售。
• 你授权 Uniswap 使用你的代币进行兑换。

简单来说，以太坊网络上的所有资产，除了 ETH 本身，都是 ERC-20 代币。

ERC-20 代币有一个特性，就是可以给其他智能合约授予批准权限。

如果你想进行核心的 DeFi 交互（比如兑换或桥接代币），这些批准在某个环节是必需的。

NFT 分别是 ERC-721 和 ERC-1155 代币，它们的批准机制与 ERC-20 类似，但主要用在 NFT 市场上。

MetaMask（MM）的初始代币批准提示会提供几条关键信息，其中最重要的包括：

• 你正在授权哪个代币
• 你正在与哪个网站交互
• 你正在与哪个智能合约交互
• 是否可以编辑代币的授权数量

在完整详情下拉菜单中，你还能看到一个额外信息：批准功能的具体内容。

所有 ERC-20 代币都必须具备 ERC-20 标准规定的某些特性和属性。

其中之一是：智能合约可以根据授权数量来移动代币。

这些批准的危险之处在于：如果你把代币权限授予了恶意智能合约，你的资产就可能被盗走或耗尽。

无限制批准 vs 自定义限制批准（ERC-20 代币）

许多 DeFi 应用默认会提示你对 ERC-20 代币进行无限制批准。

这样做是为了改善用户体验——更方便，不需要将来再额外批准，从而节省时间和 gas 费用。

为什么这很重要？

允许对无限数量的代币进行批准，可能会让你的资金面临风险。

手动将代币批准设置为一个具体数量，可以限制该 dApp 在你不签署新的更大额度批准之前，最多能移动多少代币。

这样可以在智能合约被利用时降低你的风险。如果你给某个 dApp 授予了无限制批准，而该 dApp 出现漏洞，你可能会失去所有已授权的代币——凡是持有这些资产并授予该批准的钱&包都会遭殃。

例如，Multichain 上的 WETH（WETH 是 ETH 的 ERC-20 代币包装）就曾遇到过这类漏洞。

这个常用的跨链桥因为被滥用了之前无限制的代币权限而遭受攻击，导致用户资金被盗。

下面是一个示例（使用 Zerion 钱&包），展示如何将默认的无限制批准改为手动设置。

NFT 批准

「setApprovalForAll」用于 NFT

这是一个常用但潜在危险的批准，通常在你想出售 NFT 时授予值得信赖的 NFT 市场。

这样市场的智能合约就能转移你的 NFT。所以当你把 NFT 卖给买家时，市场的智能合约可以自动把 NFT 移动到买家那里。

这个批准会授予对特定集合或合约地址内的所有 NFT 代币的访问权限。

它也可能被恶意网站或合约用来盗走你的 NFT。

恶意行为者滥用「setApprovalForAll」的示例

经典的“钱&包账户缩水”在 FOMO 免费铸造场景下是这样的：

• 用户访问了一个他们以为是合法的恶意网站。
• 当用户把钱&包连接到该网站时，网站只能查看钱&包里的内容。
• 然而，恶意网站会扫描钱&包中价值最高的 NFT，然后提示用户在 MetaMask（MM）上对该 NFT 的合约地址进行“设置所有批准”。
• 用户以为自己是在铸造 NFT，实际上却在授权恶意合约移动这些代币。
• 随后，骗子盗走代币，并在物品被标记为被盗之前，将其迅速在 OpenSea 或 Blur 上挂单卖出。

签名与批准

批准需要支付 gas 费，因为涉及交易处理。

签名则无需 gas，通常用于登录 dApp，以证明你对钱&包的控制权。

签名通常是低风险的操作，但仍可能被用来利用之前授予的可信网站（如 OpenSea）的批准。

对于 ERC-20 代币，你也可以通过无 gas 的签名来修改批准，因为以太坊最近引入了允许功能。

如果你使用像 1inch 这样的去中心化交易所（DEX），就能看到这一点。

代币批准要点

在给予任何批准时都要谨慎，确保你清楚自己在批准哪些代币，以及是针对哪个智能合约（可以利用 Etherscan 查证）。

限制你的批准风险：

• 使用多个钱&包（批准是钱&包级别的）——不要对你的“保险柜”或高价值钱&包签署批准。
• 理想情况下，尽量减少或完全避免对 ERC-20 代币授予无限制批准。
• 定期通过 Etherscan 或 revoke.cash 检查和撤销不必要的批准。

硬件钱&包 / 冷钱&包

热钱&包通过你的电脑或手机连接到互联网，密钥和钱&包凭证在线或本地存储在浏览器中。

冷钱&包是硬件设备，密钥在完全离线状态下生成和存储，并且物理上贴近你本人。

考虑到一个 Ledger 的价格大约在 120 美元左右，如果你拥有的加密资产超过 1000 美元，可能就应该考虑购买并设置一个 Ledger。你可以把 Ledger 钱&包连接到你的 MetaMask（MM），这样既能保持一定安全性，又能拥有与其他热钱&包相同的功能。

Ledger 和 Trezor 是最受欢迎的选择。我比较喜欢 Ledger，因为它与浏览器钱&包（如 Rabby 和 MM）的兼容性最好。

购买 Ledger 时的最佳实践

始终从官方制造商网站购买，千万不要在 eBay 或 Amazon 上购买——这些渠道的产品可能被篡改或预装恶意软件。

收到物品时，确保包装是密封的。

第一次设置 Ledger 时，它会生成一组助记词。

只能把助记词写在物理纸张上，或者更进一步将其刻在钢板上，以保证助记词防火防水。

绝对不要拍照或在任何键盘（包括手机）上输入助记词——这会让助记词数字化，你的冷钱&包就会变成不安全的热钱&包。

加密资产其实并不是“存储”在硬件钱&包上，而是“在”由助记词短语生成的钱&包中。

助记词短语（12-24 个单词）就是一切，必须不惜一切代价保护好。

它提供了对在该助记词下生成的所有钱&包的完全控制和访问权限。

助记词不是设备专属的，你可以将其“导入”到另一个硬件钱&包中作为备份（如果需要）。

如果助记词丢失或损坏，并且原始硬件钱&包也丢失、损坏或被锁定，你将永久失去对所有资产的访问权限。

有多种助记词的存储方法，比如将其分成多个部分，增加各部分之间的物理距离，存放在不起眼的地方（例如冰箱底部的汤罐、你财产地下的某个位置等）。

至少你应该有 2-3 份副本，其中一份应为钢制，以防水和火灾。

“私钥”类似于助记词短语，但只针对某一个特定钱&包。它通常用于将热钱&包导入新的 MetaMask（MM）账户，或在自动化工具（如交易机器人）中使用。

第 25 个单词 - Ledger

除了原始的 24 个单词助记词，Ledger 还提供一个可选的高级安全功能。

密码短语是一项高级功能，它可以为你选择的最多 100 个字符的第 25 个单词添加到恢复短语中。

使用密码短语会生成一组完全不同的地址，这些地址无法仅通过 24 个单词的恢复短语访问。

除了增加一层安全，密码短语在你受到威胁时还能提供合理的否认能力。

如果使用密码短语，务必安全存储或准确记住它，注意区分大小写和每个字符。

这是针对“5 美元扳手攻击”（一种物理威胁）的唯一最终防御措施。

为什么要费这么大劲设置硬件钱&包？

热钱&包将私钥存储在连接到互联网的位置。

通过互联网欺骗、误导和操纵人们泄露这些凭证是极其容易的。

拥有冷钱&包意味着，骗子需要物理上找到并获取你的 Ledger 或助记词，才能访问这些钱&包及其中的资产。

助记词一旦泄露，所有热钱&包及其中的资产都将面临风险，即使那些没有与恶意网站或合约互动的资产也不例外。

过去人们被“黑客攻击”的常见方式

过去人们通过热钱&包遭遇“黑客攻击”（助记词短语泄露）的常见方式包括：

• 被欺骗下载恶意软件，比如通过工作机会 PDF、测试版游戏、通过 Google 表格运行宏，或者模仿合法网站和服务。
• 与恶意合约互动：在仿冒网站上进行 FOMO 铸造，或者与未知空投或接收的 NFT 合约交互。
• 将密钥和助记词插入或发送给“客户支持”或相关程序/表单。

加密货币世界中的黑客预防与缓解

加密货币黑客的类型

首先，我们来看看加密货币黑客是如何偷走你辛苦积累的加密资产的。

网络钓鱼反诈

加密货币世界中从不缺少网络钓鱼反诈。简单说，网络钓鱼是一种社会工程攻击，用来窃取个人信息，比如信用卡信息、联系方式，以及加密钱&包的私钥。

最麻烦的是，网络钓鱼反诈越来越复杂。有些情况下，真假邮件很难分辨。

举个例子，你可能收到一封冒充可信机构的邮件，里面包含一个链接，指向一个要求你输入私钥的网站。有时，邮件甚至会威胁说，如果你不把私钥提供给发件人，就会危害你的社交安全。

交易所和钱&包黑客

尽管加密钱&包和交易所采取了很多预防措施，但它们远不能完全避免黑客攻击。

其中一次较大的钱&包黑客攻击发生在 2020 年 6 月，当时一名黑客从流行的加密钱&包 Ledger 泄露了客户信息。多达 272,000 名客户受到影响，他们的姓名、电子邮件和电话号码被公开在 Raidforum 上。幸运的是，没有付款信息被曝光——但据报道，被盗的电子邮件已被用于后续的网络钓鱼反诈。

Crypto rug pulls（拉地毯骗局）

在 DeFi 世界里，“rug pull”指的是流动池——即一种被锁定在智能合约中的资金集合——突然消失。简单来说，就是加密货币开发者带着从投资者那里筹集的所有资金跑路，再也找不到人。

最近的一个类似丑闻是 DeFi100 骗局。2021 年 5 月 22 日，DeFi100 的官方网站上出现了一条神秘消息：“我们骗了你们。”

据推测，开发者盗走了 3200 万美元的投资者资金。幸运的是，该公司后来在 Twitter 上宣布他们的页面遭到黑客入侵，并没有造成实际损失。

恶意软件

有各种病毒会对你的资金和设备造成严重损害。例如，挖矿恶意软件会利用你电脑或智能手机的系统资源来挖掘比特币和其他加密货币。

另一种很麻烦的是篡改 Windows 剪贴板，把复制的内容中的地址替换成黑客的地址。由于这种变化很难察觉，很多用户都因此把钱转到了欺诈账户。

加密黑客预防：最常见的方法

就加密货币而言，黑客预防主要围绕保护你用于访问资金的私钥。遗憾的是，目前不存在 100% 万无一失的防黑客方法，至少现在还没有。

不过，采取适当的措施可以大大降低你丢失宝贵加密货币的风险。下面来看看你可以采取哪些措施来保护资金。

物理钱&包

也叫做冷钱&包或离线钱&包，物理钱&包是存储加密货币最安全的方式之一。它是一个小型专用设备，可以存放你的资金，并且不连接互联网。

无论走到哪里，物理钱&包都很适合随身携带，只有在你想进行交易时才连接到互联网。

不过，第一个问题是：一旦你把物理钱&包连接到互联网，它就会立刻变得很脆弱。你知道的，攻击者有可能入侵用于加密交易的电脑，然后清空你的账户余额。

物理钱&包的第二个问题来自简单的人为疏忽。由于每个冷钱&包都有自己对应的私钥（用来解密），一旦你丢失了这个密钥，资金就会永久消失。

保险

如果你仍然不确定是否使用物理钱&包，或者觉得它很不方便，你也可以坚持使用常规的热钱&包（在线钱&包）。不过，你需要事先做大量研究，选择一个有保险等保障措施的钱&包。

正确的保险政策可以确保在第三方黑客入侵、盗窃或你的密钥丢失时，你的钱能得到赔付。然而，在某些情况下，保险赔偿也不足以弥补全部损失。

恶意软件保护

即使是看似简单的网络安全措施，也能大大降低被黑客入侵的风险。由于你的加密货币密钥只是另一条个人信息，这里同样适用相同的安全方法。

使用信誉良好的防病毒软件可以防范勒索软件、键盘记录器和加密劫持等威胁。此外，一个好的密码管理器（配合双因素认证 2FA）可以让你安全地存储凭证。

不用说，你不应该点击邮件中的可疑链接，也不要打开未知附件——这是最常见的信息窃取方式。

黑客缓解——一种保护资金的新思路

尽管有很多不同的方法可以防止加密黑客攻击，但它们都不是 100% 万无一失的。现实就是这么严峻——无论你的防护看起来多么严密，黑客总能找到新的意想不到的方法入侵你的账户。

这就轮到黑客缓解发挥作用了。简单来说，这是一种在攻击已经发生后取消攻击或减轻损害的方法。一种缓解方法包括冻结和撤销欺诈交易。

遗憾的是，黑客缓解目前并没有受到足够的重视。加密领域急需类似托管服务的功能，但加密货币的性质让这一点很难实现。结果，被骗的加密货币所有者似乎只能自己处理问题。

防止黑客入侵听起来更容易：使用正确的钱&包、保护私钥、实施正确的网络安全措施等等。

同时，缓解黑客攻击需要跳出常规思维。这就是为什么没有太多在线工具能帮你收回资金。更糟的是，很多人普遍认为一旦加密货币从你的账户消失，就再也拿不回来了。

不过，市场上已经出现了一些黑客缓解策略。

Lossless——一种革命性的黑客缓解工具

一个名为 Lossless 的新工具刚刚推出，它将让加密爱好者的生活更轻松一些。

Lossless 协议基于一组黑客识别参数，能够冻结欺诈交易，让你有机会把资金退回到自己的账户。

从本质上讲，它只是一段代码，由代币创建者插入到自己的代币中。使用 Lossless，就能在检测到可疑行为后立即采取行动。

以下是 Lossless 处理加密货币黑客的方式：

1. 黑客侦查机器人检测到欺诈交易

2. 受攻击的地址立即被冻结

3. Lossless 委员会、公司和代币创建者评估威胁，交易被撤销

这一切都得益于创建黑客侦查机器人的白帽黑客社区。最棒的是——每个人都可以成为这个社区的一员。

第一个发现欺诈交易的人会得到奖励。这样一来，机器人总是在不断进化，甚至能发现最复杂的欺诈行为。

Lossless 的灵感来自 Tether 已经创建的一种损失缓解模型。不过，通过让所有人都参与黑客检测过程，并让三个独立方评估情况，Lossless 将这种模式提升到了新的水平。

丢失资金追回机构

另一种减少加密黑客和骗局损失的方法与丢失资金恢复机构有关。

Broker Complaint Alert (BCA)、Atrium Forensics 和 CipherTrace 是一些帮助处理各种类型欺诈（包括加密货币反诈）的网站。

一旦你意识到自己被骗了，可以填写在线交易投诉表（需要你的姓名、电话号码、电子邮件和国家/地区等信息），网站会在几个工作日内为你匹配一位在线顾问。

这些页面大多有一些有用的资源，包括已经欺骗过该网站用户的加密货币袋里黑名单。

哪一种更好：黑客预防还是缓解？

目前，加密市场上缺乏好用的黑客缓解工具，这使得预防成为大多数人的首选方案。安装信誉良好的防病毒软件、避免可疑的邮件附件、使用物理钱&包——这些只是保护你宝贵加密货币资金的部分方法。

话虽这么说，但我们希望像 Lossless 这样的工具是未来发展的一个方向。我们必须接受攻击时有发生的现实，同时找到应对后果的解决方案至关重要。值得庆幸的是，黑客缓解正在稳步发展，不断提升着用户的安全水平。

本文内容仅供教育和信息参考，不构成任何投资建议或交易指导。加密货币市场波动极大，存在本金损失风险。文中提及的任何项目、工具或策略均不保证收益或安全。用户在进行任何交易或授权前，应自行研究并评估风险，必要时咨询专业财务顾问。对于因依赖本文内容而产生的任何损失，作者及平台不承担任何责任。