Vitalik帳號「被駭」後發布釣魚訊息，哪些資金欺騙方式值得用戶警惕？

Beosin

閱讀本文需 12 分鐘

近期區塊鏈生態中大量安全事件諸如釣魚攻擊仍是頻傳。

原文標題：《Vitalik 帳戶「被駭」後發布釣魚訊息，除了釣魚攻擊，還有哪些資金騙取方式值得用戶警惕？》

原文來源：Beosin

9 月10 日，以太坊聯合創始人Vitalik Buterin X 平台（原推特）帳戶被黑客攻擊，並且發布了一條釣魚鏈接，內容為一條關於Danksharding 的紀念NFT 免費領取鏈接。儘管這則推文還快被刪除，但駭客還是盜走約 70 萬美元資金。

先前7 月，Uniswap創辦人Hayden Adams 的X 平台（原推特）帳號同樣被駭並發布了包含釣魚連結的推文，可見近期區塊鏈生態中大量安全事件諸如釣魚攻擊依然頻發。

先前，Beosin 已經對釣魚攻擊進行過詳細的解讀，大家可詳細閱讀：UNIBOT 爆火，如何防範Telegram 機器人相關的釣魚和詐騙？簽名就被偷？用過 Uniswap 的請警惕！揭秘 Permit2 簽名釣魚

除了釣魚攻擊，還有哪些資金騙取方式值得用戶警惕？近期，Beosin 團隊發現跑路以及價格操控事件同樣對用戶的資金造成很大的損失。

隨著區塊鏈技術越來越成熟，程式碼層面的問題出現也越來越少，從而更傾向於騙局以及業務邏輯上出現的問題。本文我們盤點近期常見的資金安全問題，幫用戶從根本上避免一些資金受騙。

最近發生的跑路詐騙等事件，操控者主要是透過合約後門、貔貅盤等方式進行資金騙取，而這類方式其實用戶是可以要避免的，主要是要了解合約運作方式以及程式碼原理，我們拿近期的專案來進行說明，並總結這類騙局的特點。

一、專案後門注意事項

1、特權位址修改餘額

一般涉及詐騙的項目都會有一個特權位址，該位址可以隨意mint、burn 或設定他人餘額。這種專案有跑路的風險，當用戶使用了大量資金購買了專案代幣後，專案方直接透過特權函數將價值幣全部兌換出來，導致專案代幣價值歸零。

以CUZK 專案代碼為例：

CUZK 代幣合約中存在後門，特權地址可以直接為自己帳戶設定超過總供應量的代幣，如下代碼：

ccvipaaaqqq() 函數會為呼叫者添加巨量的CUZK 代幣，最後判斷呼叫者是否為ciyuAdmintmrr，該位址是合約初始化時創建者設定的位址（ 0xf719）。

項目方透過呼叫 ccvipaaaqqq() 函數，為自己（0xf719）增加了巨量的代幣。

隨後，特權位址使用設定的代幣將pair 中WBNB 全部兌換出來，導致CUZK 幣價歸零。

2、隱藏式後門，間接添加餘額

還有一些項目並沒有直接操縱地址代幣餘額的功能，但是特權地址可以間接獲取大量代幣，從而將價值幣全部兌換出來，導致代幣價格歸零。

以BNB 鏈上Flashmall 專案為例：

FlashMall 合約擁有一個setPointRate 函數，用於設定兌換率，函數僅有特權位址能呼叫。

這次跑路事件主要分為以下步驟：

設定兌換率->兌換->設定兌換率->兌換

以下為詳細步驟：

1. 特權位址設定率為10000。

2.0x613C 地址能將MUSD 兌換為10 倍的MCoin。

3. 特權位址設定率為 1000。

4.0x613C 位址能將MCoin 兌換為相同數量的MUSD。

5. 透過多次轉換，0x613C 擁有了大量的MUSD，最後將USDT 全部兌換出來。

以下為MCoin 與MUSD 的兌換代碼，數量由pointRate 決定。

總結：合約是否擁有後門，主看有無特權函數能對任意地址代幣進行操控，或是否有特權地址代幣增發的邏輯函數。此外，如果是專案方擁有絕大部分流動性憑證，那麼也可能出現跑路。使用者可以透過查看合約是否放棄特權地址，或者特權地址是否為一個正常業務的合約地址來判斷其風險程度，同時，查看流動性憑證是 EOA 帳戶擁有還是正常業務合約擁有。