學會安全存儲你的NFT 資產，並避免遭受詐騙。
原文標題：《NFT 防盜指南：如何保護資產安全？ 》
隨著NFT 用戶數、交易量和市值的不斷攀升，釣魚者、黑客等不法分子也開始瞄準這個市場，進一步威脅NFT 生態的安全。
區塊鏈安全和數據分析公司PeckShield 編寫的表格顯示，在一次釣魚攻擊中，254 個總價值約為170 萬美元的NFT 遭到盜竊；愚人節當天周杰倫的NFT BAYC#3738 被盜走，該事件是典型的由釣魚網站誘導mint 從而獲得用戶NFT 操作權的案例；一個名為MoonManNFT 的項目，該項目藉由free mint 的名頭，盜走了近400 個NFT……
一般來說，黑客會通過Discord 和Telegram 鎖定收藏者，並通過誘導mint、釣魚攻擊等方式盜走用戶的NFT 資產。隨著當下技術發展，NFT 投資者和收藏者必須及時了解保護資產的最新方法。
NFT 安全存儲基本知識
請牢記：
-
你的NFT 並非儲存在電腦或移動設備上，而是在IPFS 或Arweave 這樣的去中心化空間。
-
擁有私鑰，就有了對區塊鏈/ 你的資產的完全訪問權限。
-
Shamir 私鑰分割方案能為助記詞提供二級保護。
1. 你的NFT 儲存在哪裡？
NFT 並非儲存在冷錢包、PC 端或熱錢包中。 NFT 是位於以太坊區塊鏈上的代幣，由全球2400 多個運行中的網絡節點承載。 NFT 受到完全去中心化系統的支持，它能確保NFT 生態正常運轉，也能夠驗證線上交易。當你進行NFT 交易時，實際發生的活動是數據庫對該NFT 的地址進行更改。
2. 你的圖片、動圖和音樂在哪裡？
NFT 的URI（統一資源標識符）標記了圖片的位置。 NFT 一般位於像IPFS 或Arweave 等去中心化存儲空間。在Web2 中，也有AWS 這樣的中心化存儲器。
3. 錢包
錢包是一個儲存私鑰的軟件，能夠支持交易活動。錢包分為兩種：熱錢包（軟件錢包）和冷錢包（硬件錢包）。
熱錢包（軟件錢包）：能夠在通用設備上運行的軟件，能Web3 連接，只需點擊鼠標就能接收資產。
冷錢包（硬件錢包）：專用於硬件設備，能與Web3 連接並接收資產。它與熱錢包的主要區別是，冷錢包的助記詞從不聯網，若要進行交易，必須通過物理手段（比如觸摸屏）批准。
選擇了合適的錢包後，你需要了解它的功能：
首先，熱錢包/ 冷錢包會要求你創建一個密碼，此密碼在特定設備上是唯一的。只有知道密碼，才能訪問錢包。
你可以自由分享錢包的公共地址，此地址與Web3 的電子郵件地址沒有區別，知道了你的地址，任何人都能向你發送NFT。這也就催生了新的黑客攻擊載體。黑客會向人們發送NFT，當人們與該NFT 互動時（比如將其發送至另一錢包，或出售它），黑客就會竊取此人錢包中的資產。請謹記，不要點開陌生NFT！此外，人們也會利用流氓簽名或批准來獲取你的IP 地址。
釣魚郵件也是尋常的詐騙方式。郵件的目的是引誘你把錢包連接到虛假網站，以便黑客竊取資產。所以，千萬不要點開陌生鏈接！務必時時檢查網站名稱。目前黑客攻擊的方法比較單一，只能從公共地址和電子郵件下手，只要不理會它們就可以了。
你要保管好私鑰，它是訪問你的公共地址的密碼，私鑰的功能有：
（1）將你的NFT 移出地址。
（2）簽署合同，來證明你擁有該地址的私鑰（類似於驗證你擁有該公共地址）。
公共地址和私鑰最大的區別是，你永遠也不能向任何人透露自己的私鑰。否則，他們就能把你的私鑰導入他們的錢包，竊取你所有的資產。
明確了私鑰和公共地址的概念，我們再來看一下助記詞。助記詞一般由12、18 或24 個單詞構成，用於找回錢包。如果丟失私鑰，你可以使用助記詞新建一個。與私鑰一樣，助記詞永遠不能被第二個人知道，也不能存儲在電子存儲設備或服務商中（比如google drive、icloud、相簿、手機便籤和副本）。最理想的方式是物理存儲，比如寫在紙上。有人也使用鐵製品存儲助記詞，因為它更加防火。其他方式，例如口令，也能增加錢包安全性。口令是一串符號或單詞，將其與助記詞結合，就能在原有錢包的基礎上創建新錢包。打個比方，若要在原有錢包的基礎上創建新的錢包，只需輸入：
-
助記詞+ 「NFTGo」
-
助記詞+ 任意數字
-
助記詞+ 任意字母
-
助記詞+ 任意短語
上述任一方式都能創建一個具有不同私鑰公共地址的新錢包，但口令這一功能只對冷錢包適用。
4. 添加第二層保護
購買冷錢包是提升安全性的有效途徑。 Trezor，Ledger 和Keystone 是幾款最受歡迎的硬件錢包，但各自有優勢和不足。每種冷錢包都有其特色。比如Keystone 使用二維碼進行數據傳輸，避免了木馬病毒通過USB 接口或者藍牙被傳輸到硬件錢包的風險，同時也是首個支持ENS (Ethereum Name Service) 的硬件錢包，免去了核對原始地址的麻煩。此外，用戶可以用NFT 自定義其4 英寸的屏幕。
我們以Keystone 為例進行設置。
（1）從官方網站購買Keystone 錢包。
（2）安裝Keystone 套件。
（3）啟動Keystone。
（4）設置你錢包的PIN—— 專屬於此設備的口令。
（5）如果是企業使用的話，推薦使用Shamir 私鑰分割方案，把2 組助記詞分成3 組，或把3 組助記詞分成5 組，你可以把這3 組私鑰保存在不同地方。如果你有5 個Shamir 備份中的3 個並且丟失了其中2 個，你仍然可以使用剩餘的3 個備份來恢復您的錢包。
我們以轉移一個BAYC 為例具體來看NFT 硬件錢包的使用。在Keystone 中，用戶可以使用microSD 卡中上傳的ABI 數據文件快速確認地址的真實性，地址旁邊會出現藍色字體的「Board Ape Yacht club」，還需要確認該交易是否涉及任何惡意行為，以免將您的NFT 簽署給詐騙者或黑客。
避免NFT 詐騙的方法
1. 務必從官網下載Web3 app 或錢包
導致加密/ NFT 黑客攻擊的主要原因是用戶對非官方網站的訪問。絕大多數此類網站是為了行騙而建立，看上去與官方網站極其相似。不要從Google Play 下載Web3 app，它們可能不是從原始渠道獲取的。你可以參考以下建議，來鑑別官方網站：
（1）關注網址欄。只點擊以https:// 開頭的網址（不要點http://！），「s」代表「安全」，表示該網站的數據是加密傳輸的，能阻止黑客攻擊。
（2）檢查域名。黑客最青睞的伎倆就是創建山寨網站，其域名與正版網站十分相似，只有雙擊才能察覺區別。例如，https://wobble.com 這個網站的山寨版可以是https://w0oble.com。請記得時時雙擊域名的所有字母。
（3）留心拼寫錯誤。多數虛假網站是粗糙趕工而成，拼寫、讀音、大小寫和語法都會出錯。
2. 只瀏覽官方頻道、官方推特和官方鏈接
前面提到，你只能相信官方網站、推特賬號和discord。你可以參考下列建議來驗證：
（1）檢查賬戶活動。
（2）檢查粉絲數。
（3）檢查賬戶歷史。
（4）檢查評論和參與度。
3. 不要與任何人共享登陸憑證或私鑰
有句話在加密圈十分流行：「無鑰即無幣，幣鑰為一體」。一旦你的私鑰或助記詞被分享出去，這個賬戶就再也不屬於你了。最好的做法，是不讓其他人拿到私鑰。
4. 先驗證NFT 再購買
在NFT 生態系統中，盡職調查總是非常重要。購買或鑄造NFT 之前，務必要檢查項目涉及到的團隊的聲譽，其社區中的有機互動，以及人們對該項目的看法。
5. 使用多個錢包鑄造NFT
比如，Burner 錢包是專為NFT 鑄造創造的二級錢包。這些錢包都是以鑄幣所需的gas 數額來創建並註資。鑄幣完成後，鑄成的NFT 被發送到另一個錢包，它的作用是存儲NFT。這就減少了主錢包與易被攻擊網站互動的風險。你可以創建多個burner 錢包，一旦發現漏洞，就立即丟棄它。
6. 謹慎點擊陌生賬戶的鏈接
黑客的常見騙術，是通過陌生的Discord 賬戶或冷郵件發送贈品或白名單鏈接。務必將Telegram、Discord 和郵件設置為不接收陌生賬戶或非官方地址的消息，也請提防用戶假扮群主或官方DM 你。
7. 檢查令牌批准& 撤銷不使用的令牌
人們每天都與不同的協議和鏈接互動，基於智能合約上的信息給予其訪問權限和許可。時常審查和撤銷訪問權限十分重要。 https://revoke.cash/ 網站可以幫您取消訪問權。
8. 進行下一步之前，仔細閱讀並核實智能合約的交易條款
確認交易前，務必確保自己認真閱讀了智能合約中的每個細節。很多黑客利用智能合約騙取許可，從而隨意訪問你錢包中的資金。你要認真閱讀，確保合約中的細節不會構成威脅，也不是存在漏洞。
9. 緊跟新聞，了解新漏洞
結語
人們對NFT 市場的興趣日益增加，不法分子也潛伏其中，利用伎倆從收藏者和投資者手中偷取作品和資金，請確保自己的寶貴資產、錢包和資金不落入黑客手中。
