加密行業的360衛士?盤點市場上的11款“防釣魚插件”

吳說作者 | Wade

本期編輯 | Colin Wu

1 月28 日,Azuki 的Twitter 賬號被黑,導致其粉絲連接到釣魚鏈接,超122 枚NFT 被盜,損失超過78 萬美元。 1 月26 日,NFT 項目Moonbirds 的創始人Kevin Rose 錢包被盜,約40 個NFT 被盜取,損失超過200 萬美元,手法還是NFT “零元購”釣魚,一筆簽名即可被釣走在OpenSea 授權過的資產。 1 月15 日,@NFT_GOD 因點擊谷歌上的釣魚廣告鏈接,導致所有賬戶(substack twitter 等)、加密貨幣、NFT 被盜。

為何普通用戶和項目方創始人都屢遭釣魚攻擊,市場上有哪些防釣魚瀏覽器插件?本文對11 款插件進行了盤點。

原文鏈接(可在評論中找到官網推特與其網址):

主流插件(安裝次數大於10k)

1、PeckShieldAlert:安裝次數50k+,中英文界面。派盾(PeckShield)團隊產品。

網站顯示其惡意地址收錄數量1,286,478、釣魚網站收錄數量90,931,且不斷更新中。目前僅支持ETH 和BSC 兩條鏈。

包含功能:Token 合約監測、錢包授權管理、主動防禦詐騙代幣威脅、主動防禦釣魚網站威脅、可信域名檢測、惡意插件檢測等防釣魚網站功能。

2、Pocket Universe:安裝次數20k+、可用於Firefox 、Microsoft Edge、Google Chrome 等瀏覽器、僅適用於ETH 主網。聲稱與Metamask、Coinbase wallets 錢包有合作。

包含功能:監測惡意Seaport 交易、Honeypot NFT 以及釣魚網站。

使用特性:不鏈接錢包,通過模擬交易的方式驗證交易安全,略微影響交易速度(不超過1 秒)。

3、Revoke.cash:安裝次數10k+,中英文界面。適用於所有基於EVM 的鏈,如Ethereum、Polygon 和Avalanche、可用於Firefox 、Microsoft Edge、Google Chrome 等瀏覽器。

包含功能:對非白名單NFT 交易網站、釣魚網站的交易會彈出警告;可撤銷授權。

4、Fire:安裝次數10k+、適用於以太坊主網和Polygon。與MetaMask 和Coinbase 錢包兼容,可適用任何以太坊錢包。

工作原理:通過模擬用戶受影響的ERC-20、ERC-721 和ERC-1155 交易,監測掃描交易是否安全。

小眾插件(安裝次數小於10k)

1、Wallet Guard:安裝次數6k+,Binance Labs 孵化。

功能:阻止訪問近期創建且信任度低的網站、自動禁用惡意拓展應用程序、監測並阻止訪問釣魚網站。

2、MetaDock:安裝次數3k+,代碼開源,安全公司BlockSec 團隊產品。

功能:僅支持BTC、ETH、BSC、Polygon、Fantom、Arbitrum、Cronos、Avalanche、Optimism、Moonbeam 公鏈以及Opensea。可查看地址資金流向、監測NFT 藏品風險、與Debank、NFTGo 等產品交互。

3、Blockem:安裝次數930

功能:AI算法模擬交易以及地址打分

4、Metashield:安裝次數864、代碼開源、由BuidlerDAO 孵化的第一個項目。

工作原理:識別approve 和send 交易,並通過黑白名單的方式以及檢查被授權地址的狀態,幫助用戶進行預警和攔截釣魚網站。無需連接錢包、無需授權。

5、Stelo:安裝次數628、代碼開源、適用於任何基於Chromium 的瀏覽器。

工作原理:Stelo 通過包裝Metamask 注入頁面的window.ethereum Javascript 對象來暫停發送到Metamask 的交易請求。一旦用戶在Stelo 中批准交易,它就會恢復Metamask 請求,如果用戶拒絕它,它會取消請求。

6、Scam Sniffer:安裝次數615、代碼開源。

包含功能:Detector API(監測轉移用戶資產、請求授權等惡意行為)、模擬交易等。

7、Beosin Alert:安裝次數291,由區塊鏈安全審計公司Beosin 團隊開發。

盤點小結

慢霧創始人餘弦表示其重點關注了Scam Sniffer、Revoke.cash、Wallet Guard、Pocket Universe、Fire。

使用人數最多、功能最全的是PeckShieldAlert。但就安裝次數而言,其與MetaMask 10M+、Phantom 2M+ 相比,也幾乎是忽略不記。此外該領域未見融資信息,說明無論從用戶還是投資人的角度而言都未對其真正重視。

慢霧團隊成員@IM_23pds 觀點:

區塊鏈行業被釣魚攻擊主要分佈在“域名、簽名”兩點,其中90% 的NFT 釣魚都跟虛假域名有關。如果用戶打開一個釣魚頁面,相關的插件、瀏覽器就能直接提示風險,這樣就沒有了後面騙簽名的步驟,可以把風險阻斷在第一步。

此前Web2 世界中的360 時代就解決了當時小白用戶被病毒攻擊的困擾,但它也並非解決了木馬病毒問題。病毒的查殺和病毒的免殺(一種專業的躲避殺毒軟件查殺技術,可以自行Google 了解) 永遠存在時間差,如何做到時間差更小,樣本數更快、識別更精準就決定了殺毒軟件的厲害程度。

同樣,在區塊鏈、NFT 行業,如何能第一步識別、提醒到釣魚站點的實時情況,在用戶端反饋出速度和識別度也決定了一款防釣魚插件的能力;而如果相關產品沒有在第一步識別到這些釣魚域名,用戶丟幣的風險就大大增加。

此前如果錢包有騙簽識別,能夠不錯的展示出用戶要簽名的詳細信息,如授權什麼、多少、給誰等人類可讀數據,也可一定程度上避免被盜。但當前MetaMask 雖有80% 的市場佔有率,但是解析實在夠嗆。

雖然也有一些產品解析做的不錯,但仍無法防丟幣丟NFT。任何的產品、文章、提醒都是輔助,建立自己的安全意識,可能才可以一直立於不丟幣、不丟NFT 之地。個人安全意識,這才是王者。

區塊鏈研究員@tmel0211 觀點:MetaMask 等自託管錢包的技術邏輯是幫助用戶安全保管本地私鑰,處理用戶交易簽名,提供gateway 連接各大區塊鍊主網,便捷展開DeFi 等智能合約交互等。理論上講,在不影響錢包轉賬交互功能的前提下,嵌入任何優化體驗的插件服務都是可行的。防釣魚地址篩查只能算其中一種剛性需求。

不過,目前主流錢包產品功能都很簡潔,在服務優化上很克制。原因如下:

1、受客戶端信息有效載荷影響,移動端交互相比瀏覽器插件更需要簡潔;2、受去中心化共識的影響,釣魚網站、黑名單庫等需要中心化的運維支撐,會產生共識側的非議;3、受商業化傾向影響,服務夾層雖能優化體驗卻很難商業變現。

目前市場主流瀏覽器安全插件,大多為第三方安全數據公司提供:體驗都不錯,但普及度還不夠。它們都有一個夢想,成為守護web3 的360 安全衛士,雖然道阻且長:

1、提供插件服務的插件本身也存在潛在的安全風險可能,其信任共識需要時間積累;2、常在DEX 環境下交易或Mint NFT 的活躍用戶現階段安全意識尚且薄弱,用戶習慣待養成;3、釣魚網站更新、黑名單地址庫等運維挑戰大;

在我看來,錢包敘事應該會趨向於垂直細分化。 1、面向極客的極簡錢包;2、面向小白的安全交互防釣魚錢包;3、面向機構的可定制化錢包;4、MPC 錢包;5、智能合約錢包等等。

但無論怎樣,這和安全插件服務市場並不衝突,現階段共存、互補,相信一款優秀的瀏覽器安全插件終將成為錢包一樣的標配。

Total
0
Shares
Related Posts