吳說作者 | Wade
本期編輯 | Colin Wu
1 月28 日，Azuki 的Twitter 賬號被黑，導致其粉絲連接到釣魚鏈接，超122 枚NFT 被盜，損失超過78 萬美元。 1 月26 日，NFT 項目Moonbirds 的創始人Kevin Rose 錢包被盜，約40 個NFT 被盜取，損失超過200 萬美元，手法還是NFT “零元購”釣魚，一筆簽名即可被釣走在OpenSea 授權過的資產。 1 月15 日，@NFT_GOD 因點擊谷歌上的釣魚廣告鏈接，導致所有賬戶（substack twitter 等）、加密貨幣、NFT 被盜。
為何普通用戶和項目方創始人都屢遭釣魚攻擊，市場上有哪些防釣魚瀏覽器插件？本文對11 款插件進行了盤點。
原文鏈接（可在評論中找到官網推特與其網址）：
为什么没有出现一款大家常用的防钓鱼浏览器插件？还是已经有了但是没有大规模使用？
— Colin Wu (@WutalkWu) January 26, 2023
主流插件（安裝次數大於10k）
1、PeckShieldAlert：安裝次數50k+，中英文界面。派盾（PeckShield）團隊產品。
網站顯示其惡意地址收錄數量1,286,478、釣魚網站收錄數量90,931，且不斷更新中。目前僅支持ETH 和BSC 兩條鏈。
包含功能：Token 合約監測、錢包授權管理、主動防禦詐騙代幣威脅、主動防禦釣魚網站威脅、可信域名檢測、惡意插件檢測等防釣魚網站功能。
2、Pocket Universe：安裝次數20k+、可用於Firefox 、Microsoft Edge、Google Chrome 等瀏覽器、僅適用於ETH 主網。聲稱與Metamask、Coinbase wallets 錢包有合作。
包含功能：監測惡意Seaport 交易、Honeypot NFT 以及釣魚網站。
使用特性：不鏈接錢包，通過模擬交易的方式驗證交易安全，略微影響交易速度（不超過1 秒）。
3、Revoke.cash：安裝次數10k+，中英文界面。適用於所有基於EVM 的鏈，如Ethereum、Polygon 和Avalanche、可用於Firefox 、Microsoft Edge、Google Chrome 等瀏覽器。
包含功能：對非白名單NFT 交易網站、釣魚網站的交易會彈出警告；可撤銷授權。
4、Fire：安裝次數10k+、適用於以太坊主網和Polygon。與MetaMask 和Coinbase 錢包兼容，可適用任何以太坊錢包。
工作原理：通過模擬用戶受影響的ERC-20、ERC-721 和ERC-1155 交易，監測掃描交易是否安全。
小眾插件（安裝次數小於10k）
1、Wallet Guard：安裝次數6k+，Binance Labs 孵化。
功能：阻止訪問近期創建且信任度低的網站、自動禁用惡意拓展應用程序、監測並阻止訪問釣魚網站。
2、MetaDock：安裝次數3k+，代碼開源，安全公司BlockSec 團隊產品。
功能：僅支持BTC、ETH、BSC、Polygon、Fantom、Arbitrum、Cronos、Avalanche、Optimism、Moonbeam 公鏈以及Opensea。可查看地址資金流向、監測NFT 藏品風險、與Debank、NFTGo 等產品交互。
3、Blockem：安裝次數930
功能：AI算法模擬交易以及地址打分
4、Metashield：安裝次數864、代碼開源、由BuidlerDAO 孵化的第一個項目。
工作原理：識別approve 和send 交易，並通過黑白名單的方式以及檢查被授權地址的狀態，幫助用戶進行預警和攔截釣魚網站。無需連接錢包、無需授權。
5、Stelo：安裝次數628、代碼開源、適用於任何基於Chromium 的瀏覽器。
工作原理：Stelo 通過包裝Metamask 注入頁面的window.ethereum Javascript 對象來暫停發送到Metamask 的交易請求。一旦用戶在Stelo 中批准交易，它就會恢復Metamask 請求，如果用戶拒絕它，它會取消請求。
6、Scam Sniffer：安裝次數615、代碼開源。
包含功能：Detector API（監測轉移用戶資產、請求授權等惡意行為）、模擬交易等。
7、Beosin Alert：安裝次數291，由區塊鏈安全審計公司Beosin 團隊開發。
盤點小結
慢霧創始人餘弦表示其重點關注了Scam Sniffer、Revoke.cash、Wallet Guard、Pocket Universe、Fire。
使用人數最多、功能最全的是PeckShieldAlert。但就安裝次數而言，其與MetaMask 10M+、Phantom 2M+ 相比，也幾乎是忽略不記。此外該領域未見融資信息，說明無論從用戶還是投資人的角度而言都未對其真正重視。
慢霧團隊成員@IM_23pds 觀點：
區塊鏈行業被釣魚攻擊主要分佈在“域名、簽名”兩點，其中90% 的NFT 釣魚都跟虛假域名有關。如果用戶打開一個釣魚頁面，相關的插件、瀏覽器就能直接提示風險，這樣就沒有了後面騙簽名的步驟，可以把風險阻斷在第一步。
此前Web2 世界中的360 時代就解決了當時小白用戶被病毒攻擊的困擾，但它也並非解決了木馬病毒問題。病毒的查殺和病毒的免殺(一種專業的躲避殺毒軟件查殺技術，可以自行Google 了解) 永遠存在時間差，如何做到時間差更小，樣本數更快、識別更精準就決定了殺毒軟件的厲害程度。
同樣，在區塊鏈、NFT 行業，如何能第一步識別、提醒到釣魚站點的實時情況，在用戶端反饋出速度和識別度也決定了一款防釣魚插件的能力；而如果相關產品沒有在第一步識別到這些釣魚域名，用戶丟幣的風險就大大增加。
此前如果錢包有騙簽識別，能夠不錯的展示出用戶要簽名的詳細信息，如授權什麼、多少、給誰等人類可讀數據，也可一定程度上避免被盜。但當前MetaMask 雖有80% 的市場佔有率，但是解析實在夠嗆。
雖然也有一些產品解析做的不錯，但仍無法防丟幣丟NFT。任何的產品、文章、提醒都是輔助，建立自己的安全意識，可能才可以一直立於不丟幣、不丟NFT 之地。個人安全意識，這才是王者。
區塊鏈研究員@tmel0211 觀點：MetaMask 等自託管錢包的技術邏輯是幫助用戶安全保管本地私鑰，處理用戶交易簽名，提供gateway 連接各大區塊鍊主網，便捷展開DeFi 等智能合約交互等。理論上講，在不影響錢包轉賬交互功能的前提下，嵌入任何優化體驗的插件服務都是可行的。防釣魚地址篩查只能算其中一種剛性需求。
不過，目前主流錢包產品功能都很簡潔，在服務優化上很克制。原因如下：
1、受客戶端信息有效載荷影響，移動端交互相比瀏覽器插件更需要簡潔；2、受去中心化共識的影響，釣魚網站、黑名單庫等需要中心化的運維支撐，會產生共識側的非議；3、受商業化傾向影響，服務夾層雖能優化體驗卻很難商業變現。
目前市場主流瀏覽器安全插件，大多為第三方安全數據公司提供：體驗都不錯，但普及度還不夠。它們都有一個夢想，成為守護web3 的360 安全衛士，雖然道阻且長：
1、提供插件服務的插件本身也存在潛在的安全風險可能，其信任共識需要時間積累；2、常在DEX 環境下交易或Mint NFT 的活躍用戶現階段安全意識尚且薄弱，用戶習慣待養成；3、釣魚網站更新、黑名單地址庫等運維挑戰大；
在我看來，錢包敘事應該會趨向於垂直細分化。 1、面向極客的極簡錢包；2、面向小白的安全交互防釣魚錢包；3、面向機構的可定制化錢包；4、MPC 錢包；5、智能合約錢包等等。
但無論怎樣，這和安全插件服務市場並不衝突，現階段共存、互補，相信一款優秀的瀏覽器安全插件終將成為錢包一樣的標配。
