作者：山& Liz
背景
近期慢霧安全團隊陸續收到多起被盜求助，在分析被盜事件後，我們發現多數被盜原因竟然是：知名項目方推特下方的釣魚留言導致！
隨後慢霧安全團隊做了針對性的分析統計：約有80% 的知名項目方在發布推特後，評論區的第一條留言會被詐騙釣魚帳號所佔據。鑑於釣魚團伙的自動化程度之高、部分加密貨幣從業者安全意識較低，本文將解析知名計畫方評論區釣魚團伙的作案流程，給加密貨幣從業者以警示。
作案流程
1. 購買推特帳號。我們發現Telegram 中存在許多售賣推特帳號的群，這些帳號有粉絲量、有一定數量的貼文、註冊時間也不一，買家可以根據需要挑選合適的帳號。翻看群組裡的歷史紀錄發現，群組裡販售的多為加密貨幣產業相關的號碼以及網紅號。
除了Telegram 上的賣號群外，還有專門賣推特帳號的網站。這類網站上販售各年份的推特帳號，同時支援特定相似帳號購買，如使用者名稱與Optimism（真帳號）高度相似的Optimlzm（假帳號）。這類網站也接受加密貨幣付款。
(https://twitteraccseller.mysellix.io/)
2. 買到現成的帳號後，釣魚集團會用推廣工具買粉絲互動，增加帳號可信度。這類推廣工具同樣支持加密貨幣付款，出售國外主流社交平台的點贊，轉發，粉絲量等服務，買家輸入要推廣的鏈接和要求的數量即可購買。
(https://easyliker.ru/services)
據該平台客服所說，光是該平台就有超130 萬筆訂單，已有兩萬人使用過他們的服務。
3. 經過以上的準備，釣魚團夥就獲得了一個有足夠多的帖子、粉絲的推特帳號，然後再將帳號裡面的信息照著項目方的帳號去模仿，這時對於一部分人來說這兩個帳號就有些真假難辨了。接下來就到了釣魚團夥實施釣魚的關鍵步驟：
- 自動化機器人關注知名專案方動態；
- 在專案方發布推特後，釣魚團伙的機器人會自動化第一時間留言以確保佔位第一個留言位置，蹭到高瀏覽量；
- 由於用戶正在瀏覽的帖子的真實項目方發送的，且經過偽裝後的釣魚團夥帳號和項目方的帳號高度相似，這時只要用戶放鬆警惕，點擊假帳號裡空投等名義的釣魚鏈接，然後授權、簽名，便會損失資產。
實例
1 月12 號，Optimism 的官方推特號發送了一條推文，在這條推文下面的第一條評論就是釣魚團伙的發布的，這條評論有很高的互動量，且附上了官網的鏈接，然而其文字部分的鏈接卻是個釣魚鏈接，見下圖。同日，慢霧CISO @IM_23pds 在推特上發出警告，請廣大用戶警惕專案方評論區的高仿號釣魚。
釣魚團夥利用了推特的改名機制，用戶可以修改自己的推特顯示名稱（Display Name），但這不會改變其在推特上的唯一標識，即推特的用戶名（Handle），通常以@ 符號開頭。這個假帳號的顯示名稱改成了和官方號碼一樣的，都叫Optimism，但是仔細看就會發現高仿號的用戶名和官方號有細微差別，假帳號將官方號的用戶名中的「is」換成了「lz」，這種釣魚手法在黑手冊中已有介紹。
MistTrack 分析
使用鏈上追蹤工具MistTrack 查詢在Telegram 上售賣推特帳號的人的地址0xd02c75102ed941b26e318c0896c5b5aeb4ddc965，我們發現給這個地址轉賬的地址均被MistTrack 標記為與釣魚、盜幣等相關的地址，雙擊地址又追蹤到更多惡意位址，可見這個黑市之大。
因應措施
1. 反釣魚插件的最佳化。區塊鏈產業90% 的NFT 釣魚都跟假網域有關，有即時跟進釣魚假網域的提醒是關鍵，例如使用者開啟一個釣魚頁面，相關的插件、瀏覽器就能直接提示風險，這樣就沒有了後面騙簽名的可能，把風險阻斷在第一步。
2. 錢包所見即所簽、互動安全辨識的功能。如果錢包有騙簽識別功能，能夠不錯的展示出用戶要簽名的詳細信息，如授權什麼、多少、給誰等人類可讀數據，那麼至少可以讓用戶一目了然的看到授權細節，建立最後一道屏障，攔住馬上要掉入陷阱的用戶。
3. 建立個人安全意識。任何的產品、文章、提醒都是輔助，建立自己的安全意識，在點擊鏈接，授權、簽名前都再三確認，才可以遠離丟幣、被騙的困擾。
總結
本文基於知名計畫方推特評論區的釣魚留言現象，解析釣魚團伙的作案流程，希望幫助廣大用戶認識這一釣魚手法，提高警惕，避免資產被盜。
最後，建議閱讀慢霧出品的《區塊鏈黑暗森林自救手冊》以獲得更多安全知識。
