Приближается Лунный Новый год, время прощания со старым и встречи нового, а также момент для очередного подведения итогов:
Были ли в прошлом году случаи, когда вы попадали в ловушку проектов Rug Pull? Покупали ли вы активы по совету KOL, которые сразу же обесценивались? Или становились жертвой все более активных фишинговых атак, теряя средства из-за перехода по подозрительным ссылкам или подписания сомнительных контрактов?
Объективно говоря, сам по себе Новый год не создает рисков, но он может их усилить — когда частота движения средств увеличивается, внимание рассеивается из-за праздничных планов, а темпы операций ускоряются, любая мелкая ошибка может легко превратиться в потерю.
Поэтому, если вы планируете скорректировать позиции или управлять средствами в период праздников, сначала проведите «предпраздничную проверку безопасности» своего кошелька. В этой статье мы рассмотрим несколько реальных и распространенных сценариев рисков и систематизируем конкретные действия, которые может предпринять обычный пользователь.
1. Остерегайтесь мошенничества с «AI-сменой лица» и имитацией голоса
Недавний вирусный тренд SeeDance 2.0 вновь напомнил всем, что в эпоху быстрого развития AGI принцип «вижу — верю, слышу — доверяю» перестает работать.
Можно сказать, что с 2025 года технологии мошенничества на основе AI, такие как клонирование голоса, смена лица в видео, имитация мимики и интонаций, стали значительно более зрелыми и перешли в «индустриальную стадию» — с низким порогом входа и возможностью масштабируемого тиражирования.
Фактически, с помощью AI теперь можно точно воссоздать голос человека, темп речи, привычные паузы и даже микро-выражения лица. Это означает, что в период Нового года такие риски особенно легко усиливаются.
Например, когда вы в пути домой или на встрече с родственниками, на телефон приходит сообщение — голосовое или видео от «друга» из вашего списка контактов в Telegram или WeChat. Он звучит взволнованно, говорит, что его аккаунт заблокирован, просит помочь с переводом небольшой суммы токенов для праздничных расходов или временно покрыть расходы, и настаивает на немедленном переводе.
Голос звучит абсолютно естественно, в видео даже «участвует сам человек». Как вы будете действовать в такой ситуации, когда ваше внимание рассеяно праздничными хлопотами?
Раньше видео-подтверждение личности казалось самым надежным способом, но сегодня даже разговор с человеком через камеру больше не может считаться на 100% достоверным.
В этих условиях полагаться только на просмотр видео или прослушивание голоса уже недостаточно для проверки. Более надежный способ — создать независимый от онлайн-коммуникации механизм проверки с ближним кругом (семьей, партнерами,长期协作伙伴), например, использовать офлайн-пароли, известные только вам, или задавать вопросы о деталях, которые нельзя узнать из открытых источников.
Кроме того, необходимо пересмотреть распространенный путь риска — переход по ссылкам, пересланным знакомыми. Как правило, в период Нового года такие понятия, как «крипто-подарки» или «раздачи эирдропов», легко становятся поводом для вирусного распространения в Web3-среде. Многие становятся жертвами не из-за доверия незнакомцам, а потому что доверяют пересланным знакомыми ссылкам и переходят на тщательно замаскированные страницы для авторизации.
Поэтому важно помнить простой, но крайне важный принцип: не переходите по ссылкам из непроверенных источников в социальных сетях и не авторизуйтесь, даже если они от «знакомых».
Все операции в блокчейне лучше проводить через официальные каналы, сохраненные сайты или проверенные входы, а не в окне чата.
2. Проведите «генеральную уборку» кошелька
Если первый тип рисков связан с подделкой доверия с помощью технологий, то второй проистекает из скрытых рисков, которые мы сами накапливаем в долгосрочной перспективе.
Как известно, авторизация — это базовый, но легко упускаемый из виду механизм в мире DeFi. Когда вы работаете с каким-либо DApp, вы по сути предоставляете контракту право распоряжаться вашими токенами. Это может быть разовое разрешение, неограниченное по сумме, краткосрочное или то, которое продолжает действовать даже после того, как вы о нем забыли.
В конечном счете, это не обязательно мгновенная точка риска, но это постоянно существующая зона уязвимости. Многие пользователи ошибочно полагают, что если активы не хранятся в контракте, то и угрозы нет. Однако в бычьем цикле рынка пользователи часто активно пробуют новые протоколы, участвуют в раздачах, стейкинге, майнинге и ончейн-взаимодействиях. Разрешения накапливаются, а когда ажиотаж стихает, многие протоколы больше не используются, но права доступа остаются.
Со временем эти избыточные исторические разрешения становятся like a bunch of keys that no one cleans up. Если в давно забытом протоколе обнаружится уязвимость контракта, это легко может привести к losses.
А Новый год — это естественный момент для наведения порядка. Использовать относительно спокойное предпраздничное время для систематической проверки своих разрешений — очень полезное действие:
Конкретно можно: отозвать неиспользуемые разрешения, особенно неограниченные по сумме; для повседневных крупных активов использовать разрешения с лимитом, а не постоянно открывать доступ ко всему балансу;同时 разделить управление долгосрочными хранимыми активами и активами для повседневных операций, создав структуру с горячими и холодными кошельками.
Раньше многим пользователям для такой проверки требовались внешние инструменты (например, сайты like revoke.cash), но теперь основные Web3-кошельки, такие как imToken, уже имеют встроенные функции检测 и отзыва разрешений, позволяя просматривать и управлять историей авторизаций прямо внутри кошелька.
В конечном счете, безопасность кошелька заключается не в том, чтобы никогда не давать разрешений, а в принципе минимальных привилегий — предоставлять только необходимые в данный момент права и своевременно отзывать их, когда в них больше нет need.
3. В поездках, общении и повседневных операциях не теряйте бдительность
Если первые два риска связаны с развитием технологий и накоплением разрешений, то третий проистекает из изменения окружения.
Поездки на Новый год (на родину, в путешествия, к родственникам) often означают частое переключение устройств, сложную сетевую среду, интенсивные социальные взаимодействия. В такой обстановке уязвимость управления приватными ключами и повседневных операций значительно возрастает.
Управление сид-фразой — самый яркий пример. Сохранение скриншота сид-фразы в галерее телефона, облачном хранилище или пересылка себе через мессенджеры часто делается для удобства, но в мобильных scenarios это удобство как раз и создает наибольшую угрозу.
Поэтому помните: сид-фраза должна храниться физически изолированно, избегайте任何 способов хранения в сети. Основной принцип безопасности приватных ключей — быть offline.
В социальных сценариях同样需要 соблюдать границы. На праздничных встречах невольно может возникнуть желание похвастаться страницей с крупными активами, обсудить具体 размеры портфеля, но это может заложить основу для будущих рисков. Особенно需要警惕ровать行为, маскирующиеся под «обмен опытом» или «обучение», которые побуждают скачать поддельное приложение кошелька или плагин.
Все загрузки и обновления кошельков должны выполняться через официальные каналы, а не через переходы из окон чатов.
Кроме того, перед переводом всегда проверяйте три вещи: сеть, адрес и сумму. Ведь уже было множество случаев, когда киты теряли крупные активы из-за ошибок при операциях с адресами, имеющими похожие начальные и конечные символы, и подобные фишинговые атаки в последнее полугодие также стали индустрией:
Хакеры often массово генерируют ончейн-адреса с разными начальными и конечными символами, создавая预备库种子. Как только на какой-то адрес поступает перевод извне, они immediately находят в своей библиотеке адрес с совпадающими началом и концом и инициируют связанный перевод через контракт, расставляя сети в надежде на улов.
Поскольку некоторые пользователи sometimes копируют адрес получателя прямо из истории транзакций и проверяют только первые и последние few символов, они попадаются. По словам Юйсяня (余弦), основателя SlowMist, в фишинговых атаках на начальные/конечные символы «хакеры играют в вероятностную игру, расставляя сети и等待愿者上钩».
Поскольку стоимость Gas крайне мала, злоумышленники могут массово «отравлять» сотни甚至тысячи адресов, ожидая, что少数 пользователей ошибутся при копировании. Один успех приносит收益, многократно превышающие затраты.
И这些问题 заключаются не в сложности технологий, а в наших повседневных привычках:
- Проверяйте полную строку адреса, а не только начало и конец;
- Не копируйте адреса для переводов прямо из истории без проверки;
- При первом переводе на новый адрес сначала проводите тестовый小额 перевод;
- По возможности используйте функцию белого списка адресов, фиксируя часто используемые адреса для управления;
В нынешней децентрализованной системе, основанной преимущественно на EOA-аккаунтах, пользователь始终 является自己的第一责任人 и последней линией обороны (см.延伸阅读《«Налог на аккаунты» в $3.35 млрд: когда EOA становится системными издержками, что AA может дать Web3?》).
В заключение
Многие считают, что ончейн-мир слишком опасен и недружелюбен к обычным пользователям.
Если говорить实事求是, Web3 действительно не может предложить мир с нулевым риском, но он может стать средой, где рисками можно управлять.
Например, Новый год — время, когда节奏 замедляется, и это самый подходящий窗口 в году для приведения в порядок структуры рисков. Вместо того чтобы спешить с операциями в праздничной суете, лучше заранее проверить безопасность; вместо исправления последствий, лучше заранее оптимизировать разрешения и привычки.
Желаем всем平安顺遂 на Китайский Новый год, и пусть ваши ончейн-активы в новом году будут в безопасности и спокойствии.
