Blast是基於Optimistic Rollup的以太坊二層網絡，用戶可以在該網絡質押ETH獲取積分，用作未來項目代幣的空投。已有300億用戶和45萬餘數。不過最近收到多起因私鑰被駭客竊取而質押未來資產受到風險的求助請求。洩漏私鑰的原因包括下載風險錢包APP、私鑰觸網保存以及下載來源不明的風險軟體。即使私鑰被盜，也可以透過轉移資產、請求執法部門介入和科技公司進行搶跑交易來挽回損失。 Bitrace提醒大家要保護私鑰，確保資產安全。
Blast 是一個基於Optimistic Rollup 的以太坊二層網絡，允許用戶在Blast 質押ETH 獲得積分，以作為未來專案代幣的空投依賴。啟動初期，便透過行銷活動風靡市場。截至目前協議的TVL 已達30億用戶，數量45萬餘。爆炸的吸金效應使得Layer2紛紛效仿其「質押資產、積分組隊」的玩法，大量玩家將資金進行了數月的「鎖定」。
隨著Blast等協議逐步開放質押解鎖，大多數投資者即將迎來豐收的時刻，但對於那些因各種原因丟失私鑰的苦主而言，這卻又是一次又一次的「死亡倒數計時」。
質押狀態下私鑰被盜
近期，Bitrace 收到多起Blast、Manta 用戶提交的援助請求，受害者私鑰均在質押期間被駭客非法獲取，質押未來資產面臨被駭客轉走的風險。根據其中一位受害者描述，錢包已正常使用多年，因原因被盜，多鏈上資產均被駭客清洗，其中質押在Blast、Manta協議共9 ETH尚未被盜。
Bitrace 技術團隊對受害人提供的地址進行分析，受害人於當日19:45 分將5.1 ETH 跨進Manta 協議，約20 分鐘後，Manta 的質押規則石被盜取，同時受害人地址全鏈資產被盜清空轉入駭客地址，由此可知被盜原因大概是私鑰外洩。
駭客頂著疲憊將價值5 ETH的石跨鏈兌換為約4.5 ETH，分兩筆進入changenow清理變現。參與此類ETH質押的協議交易，若用戶在官方解鎖前提現，需要走第三方跨鏈鏈橋承受一定的資產匱乏，駭客急於將贓物款歸為己有，相當於「取之盡鐿銖，用之如泥沙」。
案件手法解讀
與受害者進一步溝通後，Bitrace技術團隊發現了私鑰洩漏的原因——該受害者電腦中木馬導致私鑰被竊取，該木馬功能為在Win電腦中開啟後門，可用於後台靜默下載、運行等惡意軟體。這意味著私鑰存在極大的風險。
那麼，如何保管私鑰，防止資產被竊？以下所示幾點導致私鑰洩漏的高風險操作：
下載風險錢包APP。錢包透過管道下載，安裝或使用官方網站以外的虛擬貨幣錢包，包括但不限於：應用程式商店、搜尋引擎、朋友發送的安裝檔案等。一旦用戶匯入私鑰至假錢包，駭客便在後台一覽無餘，無異於將資產拱手讓人。正確的做法是透過多方交叉對比，確認錢包官網的準確性後再進行下載。私鑰觸網保存。當用戶初次創建錢包時，會出現彈窗，提示用戶記錄並保存好助記詞及私鑰，突出用戶將其複製貼上或截圖保存至相簿、郵箱、QQ空間、微信助手等地方，此類行為極易導致私鑰被他人透過非法管道取得。相對安全的做法是手寫抄寫下助記詞保存。電腦下載來源不明的風險軟體，導致惡意程式碼被運行，監控電腦行為、盜取剪刀板權限從而竊取私鑰，用於鏈上互動的電腦應時常進行軟體修復工作。
私鑰丟失如何挽回
私鑰被盜並不意味著資產無望追回。目前已經有部分受害者透過技術手段順利搶先追回了質押在Blast協議中的ETH。
Bitrace 給苦主們的建議是：
第一時間轉移多鏈剩餘資產停損。在發現被盜後的第一時間，受害者應立即檢查帳戶內剩餘資產。如果有，請務必立即將其轉移到其他安全的地方。確定被盜原因並及時請求執法部門介入。受害者可以向專業的保全公司發起求助，確定被竊原因並分析鏈上地址判斷行為出資金的系統流向。在此基礎上準備說明事件原委的報案文檔，前往人員居住地、被竊發生所在轄區的執法單位報案並爭取做筆錄。只有案件資訊被錄入公安系統，未來才存在退贓物的可能。尋找專業的科技公司進行搶跑交易。對於像本文提及的私鑰被盜但錢包內仍留存未解鎖資產的情況，受害者可以尋求科技公司編寫程式碼與駭客搶跑，以追回資產。
寫在最後
Bitrace提醒大家，切實做好錢包分離工作，大資金使用單獨錢包保存，僅使用錢包與其他合約互動。若不幸去被盜，應積極追蹤資產向，時時監控關鍵地址的行為，或聯絡安全公司求助。
資訊來源：0x資訊編譯自網際網路。版權歸作者Bitrace所有，未經許可，不得轉載