标签：GameFi 私钥 游戏 MetaMask 用户 NFT 钱包 噩梦 火爆
0x1 GameFi火爆的背后，伴随着噩梦的开始
GameFi是什么？通俗来讲就是Game+DeFi，游戏与金融相融合的一种模式。
将金融产品以游戏方式呈现，将DeFi游戏化，游戏道具衍生品NFT化、引入PK对战模式、增加用户/玩家互动性，提高趣味性、可以在中边玩边赚钱。例如最近较火的Metamon元兽。
Metamon是通过区块链加密技术与通证经济构建的一个游戏元宇宙，是Radio Caca在BSC上基于区块链的一款游戏，其制作精良的视觉效果和多样的玩法都带给玩家比较好的游戏体验，作为游戏内玩家，可以控制和收集Metamon，游戏内几乎所有的物品，包括Metamon都是NFT。玩家拥有这些NFT的所有权，并且可以在任何 NFT 市场上转让、赠送或列出他们。
但谁又能想到GameFi游戏爆火的背后，黑客也在蠢蠢欲动，他们的目标已经不仅仅是通过合约漏洞来盗取数字资产，目前已经发现黑客正在通过社工的多种诈骗手段，来盗取用户的数字资产，例如伪造钱包域名，伪装成客服人员等诈骗手段。
0x2 你辛辛苦苦打的金，连本带利都被黑客卷走了
案例一
Metamon元兽游戏玩家用户A在玩游戏的过程中，购买了元兽NFT，有一天发现自己钱包中的NFT不显示了，去游戏官方社群咨询之后，就有冒充是游戏官方的客服人员加用户A好友，该客服人员实际上攻击者B。两人添加好友后随即攻击者B主动发消息，并告诉用户A是钱包的问题，需要降低版本。随后攻击者B提供给用户一个钱包下载地址，https://metaemask.io，乍一看是小狐狸的钱包地址，仔细的读者会发现该地址比小狐狸官网地址https://metamask.io/多一个字母e，由于打开恶意网址后发现网站与真正的metamask官网长得一摸一样，所以用户A并未在意，直接下载了该网站钱包，并将助记词导入新钱包。之后用户A的钱包资产短时间内全部被转出。盗币地址为0x18F1459137F784B1a174c5e18ae22F025268712e。
通过用户提供的自身被盗地址，随后零时科技安全团队对被盗事件进行分析，如下图所示：
从上图可以明显看出，攻击者在五小时前已将受害者用户的所有NFT代币尽数转至攻击者地址，并在随后的一个小时左右，将盗取的NFT代币转至自身可控的合约地址。通过进一步查看攻击者合约地址，我们发现有大量资金转入该地址，并且一直在持续，猜测攻击手法与上述一致，目前盗币地址已被加入零时科技监控平台。
为了避免更多遇到恶意网址的用户资金受到损失，这里我们建议：
1. 用户去社区寻求帮助时，一定要确定对方的身份，远离身份不明者，避免被假客服蒙骗。
2. 不要在非官方渠道下载钱包APP，下载钱包工具时需要仔细确认是否为官网网址，避免踩进钓鱼陷阱。
3. 务必保管好自己的私钥，避免将私钥提供给来历不明的第三方网站和工具。
MetaMask小狐狸恶意钓鱼网站的识别技巧
MetaMask在PC端浏览器打开时，有两种显示结果：浏览器安装MetaMask钱包插件和未安装MetaMask钱包插件两种。浏览器安装MetaMask钱包插件时，访问钓鱼网址MetaMask会自动识别该网站是否为恶意网址，如下图：
浏览器未安装MetaMask钱包插件时，则不会识别该网站为恶意网址，如下图：
故建议不确认的MetaMask网址可以在有MetaMask插件的浏览器打开，保证输入官网无误。
案例二
用户C打开自己在游戏网站中的NFT资产展示页面，发现自己的NFT资产被锁定无法参与游戏，感到非常困惑，于是从游戏官方社群中添加了声称自己是客服人员的账号，随即用户C和客服人员沟通并询问资产被锁情况，聊天中，客服人员说该类情况是游戏bug，然后询问用户C是否有填表格，申请官方解锁NFT资产，随后客服人员发来了表格链接并表示用户需要描述自己的问题，填写问题表单之后官方会解冻账户，用户C听到会解锁账户，于是点开链接开始填写，如下图所示：
填写完成上面表格信息之后，又出现输入私钥的表格，表格中也注明了官方人员得到私钥是为了帮助用户解决问题，并说明了私钥会加密，如下图所示：
用户C一心想解锁账户，并未判断该客服人员的真实身份，随即填写了私钥。一段时间过后，用户C的数字资产均被转出，客服账号也没了消息，这才意识到被骗了。目前盗币地址已被加入零时科技监控平台。
为了避免更多遇到伪装的客服用户资金受到损失，这里我们建议：
1. 用户去社区寻求帮助时，一定要确定对方的身份，远离身份不明者，避免被假客服蒙骗。
2. 务必保管好自己的私钥，避免将私钥提供给来历不明的第三方网站和工具，不要将私钥提供给任何人或网站。
0x3 看着自己的钱被转走，可是你却无能为力
链游火爆，伴随超高的收益，让很多人认为新的捞金机会来了，纷纷跟风入场。但是目前的链游市场游戏很多，鱼龙混杂，真假难辨，花样层出不穷，坑点很多，对于玩家来说，门槛很高，操作复杂，从而冒充出来一篇攻击者钓鱼诈骗用户的资产，所以我们一遍要警惕游戏项目的跑路被坑，另一边还要冒着游戏资产丢失被盗的风险。很多人多年的积蓄，本想着能有不错的回报，没想到确实噩梦的开始，成千上万的资产说没就没了，零时科技安全团队每天都能接到咨询丢失能否帮忙找回的咨询。
高收益的背后，都伴随着高风险，没有什么造富神话，也没有什么绝对安全，管好自己的私钥和助记词，谁都不要给，任何网络上都不要输入，不要随意下载钱包导入助记词，确认清楚，否则在这个复杂的圈子，你可能瞬间血本无归，看着自己的钱被转走，可你却真的无能为力。
标签：GameFi,私钥,游戏,MetaMask,用户,NFT,钱包,噩梦,火爆 来源： https://blog.csdn.net/m0_37598434/article/details/121925492
本站声明： 1. iCode9 技术分享网（下文简称本站）提供的所有内容，仅供技术学习、探讨和分享； 2. 关于本站的所有留言、评论、转载及引用，纯属内容发起人的个人观点，与本站观点和立场无关； 3. 关于本站的所有言论和文字，纯属内容发起人的个人观点，与本站观点和立场无关； 4. 本站文章均是网友提供，不完全保证技术分享内容的完整性、准确性、时效性、风险性和版权归属；如您发现该文章侵犯了您的权益，可联系我们第一时间进行删除； 5. 本站为非盈利性的个人网站，所有内容不会用来进行牟利，也不会利用任何形式的广告来间接获益，纯粹是为了广大技术爱好者提供技术内容和技术思想的分享性交流网站。