OKX Web3 e WTF Academy: Um segundo você está trabalhando duro, no próximo segundo um Hacker "invade sua casa"?

Introdução: A Carteira Web3 OKX planejou especialmente a seção “Edição Especial de Segurança” para responder a questões de segurança na cadeia de diferentes tipos. Através de casos reais que acontecem com os usuários, em conjunto com especialistas ou instituições na área de segurança, compartilhamos e respondemos de diferentes perspectivas, a fim de organizar e resumir as regras de negociação segura, fortalecer a educação em segurança do usuário e ajudar os usuários a aprender a proteger suas chaves privadas e ativos de carteira, começando por si próprios.

O funcionamento do cabelo é tão feroz quanto um tigre, e o fator de segurança é menos 5 ?

Como um usuário frequente de interações na cadeia, a segurança é sempre a prioridade número um para os usuários.

Hoje, os dois principais “reis anti-fraude” na cadeia ensinam como realizar uma estratégia segura de proteção.

Esta é a edição de segurança número 03 da revista especializada, convidando o especialista em segurança de renome da indústria 0x AA e a equipe de segurança da carteira Web3 da OKX para explicar os riscos de segurança comuns e as medidas preventivas adotadas pelos “pentesters” a partir de um guia prático.

WTF Academy: Muito obrigado pelo convite do OKX Web3. Sou 0x AA da WTF Academy. A WTF Academy é uma universidade de código aberto Web3 que ajuda os desenvolvedores a entrar no desenvolvimento Web3. Este ano, incubei um projeto de resgate Web3 chamado RescuETH (Equipe de Resgate na Cadeia), focado em resgatar os ativos remanescentes das carteiras roubadas dos usuários. Até agora, já resgatamos com sucesso mais de 3 milhões de RMB em ativos roubados nas redes Ethereum, Solana e Cosmos.

Equipe de Segurança da Carteira Web3 da OKX:

Olá a todos, estou muito feliz por poder compartilhar desta vez. A equipe de segurança da carteira Web3 da OKX é responsável pela construção de várias capacidades de segurança dentro do campo Web3 da OKX, como a construção de capacidades de segurança da carteira, auditoria de segurança de contratos inteligentes, monitoramento de segurança de projetos na cadeia e assim por diante. Fornecemos aos usuários serviços de proteção múltipla, como segurança de produtos, segurança de fundos e segurança de transações, contribuindo para a manutenção de toda a ecologia de segurança da blockchain.

Q1: Por favor, compartilhe alguns casos de risco reais enfrentados por pessoas que estão envolvidas em mineração.

**WTF Academy：**A divulgação da chave privada é um dos principais riscos de segurança enfrentados pelos usuários de criptomoedas. Essencialmente, a chave privada é uma sequência de caracteres usada para controlar os ativos criptográficos, e qualquer pessoa que possua a chave privada tem controle total sobre os ativos correspondentes. Uma vez que a chave privada seja divulgada, os invasores podem acessar, transferir e gerenciar os ativos do usuário sem autorização, resultando em perdas financeiras para o usuário. Portanto, vou compartilhar algumas casos significativos de roubo de chave privada.

Alice (pseudônimo) foi induzida por um hacker a baixar malware em uma rede social e, ao executar esse malware, teve sua chave privada roubada. O malware assume várias formas, incluindo, mas não se limitando a: scripts de mineração, jogos, software de conferência, scripts de golpes de criptomoedas, robôs de cliques, etc. Os usuários precisam estar mais conscientes da segurança.

Bob (pseudônimo) acidentalmente enviou sua chave privada para o GitHub, o que permitiu que terceiros a obtivessem, resultando no roubo de seus ativos.

Carl（化名）在项目方官方的 Tegegram 群咨询问题时，信任了主动联系他的假冒客服，并泄露了自己的助记词，随后钱包资产被盗取。

Carl（nome fictício) consultou o grupo oficial do projeto no Tegegram e confiou em um falso suporte que entrou em contato com ele ativamente, vazando suas próprias frases-semente, resultando no roubo dos ativos da sua carteira.

OKX Carteira Web3 de Segurança da Equipa: Este tipo de casos de risco é bastante longo, selecionamos alguns casos clássicos encontrados por usuários ao escovar o cabelo.

第 categoria, contas de alta imitação publicando falsos airdrops. O usuário A estava navegando no Twitter de um projeto popular, e viu um anúncio de airdrop abaixo do tweet mais recente. Em seguida, clicou no link do anúncio para participar do airdrop, resultando em phishing. Muitos pescadores atualmente estão usando contas de alta imitação para publicar anúncios falsos no Twitter oficial, a fim de atrair os usuários, que devem estar atentos e não subestimar a situação.

A segunda categoria é quando a conta oficial é sequestrada. As contas oficiais do projeto no Twitter e Discord foram atacadas por hackers, que em seguida publicaram um link falso para uma atividade de airdrop nas contas oficiais do projeto. Como o link foi publicado pelos canais oficiais, o usuário B não suspeitou da sua autenticidade e clicou no link para participar do airdrop, mas acabou sendo vítima de phishing.

Terceiro tipo, encontro com projetos maliciosos. O usuário C participa de atividades de mineração de um determinado projeto e, para obter maiores recompensas, investe todos os seus ativos USDT no contrato de staking do projeto. No entanto, esse contrato inteligente não passou por uma auditoria rigorosa e não é de código aberto, resultando em o projeto usar uma backdoor deixada no contrato para roubar todos os ativos que o usuário C depositou.

对于撸毛用户来说，动辄拥有几十或者几百个钱包，如何保护钱包和资产安全是一个非常重要的话题，需要时刻保持警惕，提高安全防范意识。 -> Para os usuários de criptomoedas, ter dezenas ou centenas de Carteiras é comum. É crucial manter a vigilância e aumentar a consciência de segurança para proteger as carteiras e os ativos.

Q2: Como um usuário frequente, os riscos comuns de segurança e as medidas de proteção para interações na cadeia do Looman são:

**WTF Academy：**Para os usuários do Web3, incluindo os miners, existem dois tipos comuns de riscos de segurança: ataques de phishing e vazamento de chave privada.

O primeiro tipo são os ataques de phishing: os hackers geralmente se passam por sites ou aplicativos oficiais, enganam os usuários para que cliquem em mídias sociais e mecanismos de pesquisa e, em seguida, enganam os usuários em transações ou assinaturas em sites de phishing para obter autorização Token e roubar ativos do usuário.

Medidas preventivas: Em primeiro lugar, recomenda-se que os utilizadores apenas acedam ao site e à aplicação oficial através de canais oficiais (por exemplo, através de hiperligações na descrição oficial do Twitter). Em segundo lugar, os utilizadores podem utilizar extensões de segurança para bloquear automaticamente alguns sites de phishing. Em terceiro lugar, ao aceder a sites suspeitos, os utilizadores podem consultar profissionais de segurança para ajudar a determinar se se trata de um site de phishing.

A segunda categoria é a divulgação da chave privada: já foi explicada na pergunta anterior, portanto não será abordada aqui novamente.

防范措施：第一，如果用户的电脑或者手机上装有Carteira，就尽量不要从非官方的渠道下载可疑软件。第二，用户需要知道，官方客服通常不会主动私信你，更不会要你发送或在假冒的网站里输入Chave privada和助记词。第三，如果用户的Código aberto项目需要使用Chave privada，请先配置好 .gitignore 文件，确保Chave privada不被上传到 GitHub。

Equipe de Segurança da Carteira Web3 OKX: Nós resumimos os 5 principais riscos de segurança enfrentados pelos usuários ao interagir na cadeia e listamos algumas medidas de proteção para cada um desses riscos.

1. Airdrop fraude

风险简介：一些用户经常会发现它们的钱包地址中出现了大量不明代币，这些代币在常用的 DEX 交易中通常都会失败，页面会提示用户前往官网兑换，而后用户在进行授权交易时，往往会授予智能合约转移账户资产的权限，最终导致资产被盗。例如，Zape 空投骗局，许多用户在钱包中突然收到大量 Zape 币，价值看似有数十万美元。这让很多人误以为自己意外发了大财。然而，这实际上是一个精心设计的陷阱。由于这些代币在正规平台上无法查询到，许多急于兑现的用户会根据代币名称找到所谓的“官网”。按照提示连接钱包后，以为可以出售这些代币，但一旦授权，钱包里的所有资产都会被立即盗走。

Medidas de proteção: evitar lavagens de olhos em airdrops exige que os usuários estejam altamente vigilantes, verifiquem a origem das informações e obtenham informações de airdrops apenas de canais oficiais (como o site oficial do projeto, contas de mídia social oficiais e anúncios oficiais). Proteja sua chave privada e sua frase-semente, não pague nenhuma taxa e use a comunidade e ferramentas para verificar e identificar possíveis lavagens de olhos.

2. Contrato inteligente malicioso

Risco de aviso: Muitos contratos inteligentes não auditados ou sem código aberto podem conter vulnerabilidades ou backdoors, não sendo possível garantir a segurança dos fundos dos utilizadores.

Medidas de proteção: Os usuários devem interagir apenas com contratos inteligentes que tenham sido rigorosamente auditados por empresas de auditoria regulares, ou verificar os relatórios de auditoria de segurança do projeto. Além disso, projetos que possuem programas de recompensas por bugs geralmente oferecem maior segurança.

3. Gestão de Autorização:

风险简介：过度授权给交互的合约，可能导致资金被盗，这里我们举例说明： 1）合约是可升级合约，如果特权账号Chave privada泄露，攻击者可以利用该Chave privada将合约升级为恶意版本，从而盗取已授权用户的资产。2）如果合约存在尚未被识别的漏洞，过度授权可能使攻击者在未来利用这些漏洞盗取资金。

Medidas de proteção: em princípio, apenas autorize contratos interativos com uma quantia necessária e reveja regularmente e revogue autorizações desnecessárias. Ao assinar uma autorização de permissão fora da cadeia, certifique-se de ter uma compreensão clara do contrato de destino/ tipo de ativo/ quantia autorizada e pense cuidadosamente antes de prosseguir.

4. Pesca Autorizada

Risco de introdução: Clicar em links maliciosos e ser induzido a autorizar contratos ou usuários maliciosos.

防护措施： 1）避免盲签: Antes de assinar qualquer transação, certifique-se de entender claramente o conteúdo da transação a ser assinada e garanta que cada etapa da operação seja clara e necessária. 2）Tenha cuidado com os destinos de autorização: Se o destino da autorização for um endereço EOA (Conta Proprietária Externa) ou um contrato não verificado, seja cauteloso. Contratos não verificados podem conter código malicioso. 3）Use uma carteira com plugin antiphishing: Use uma carteira com proteção antiphishing, como a carteira web3 OKX, que pode ajudar a identificar e bloquear links maliciosos. 4）Proteja a frase de recuperação e a chave privada: Todos os sites que solicitam a frase de recuperação ou a chave privada são links de phishing, portanto, não insira essas informações sensíveis em nenhum site ou aplicativo.

5. Scripts maliciosos

Risco de Introdução: A execução de um script malicioso pode resultar na instalação de um cavalo de Troia no computador, levando ao roubo da chave privada.

Cuidados de proteção: Execute cuidadosamente scripts ou software desconhecidos de depilação.

总之，我们希望用户在进行链上交互时候，可以谨慎再谨慎、保护好自己的Carteira和资产安全。

Q3: Revisando os tipos clássicos de phishing e suas técnicas, bem como como identificá-los e evitá-los?

Academia WTF: Gostaria de reconsiderar esta questão de uma perspetiva diferente: uma vez que um utilizador descobre que os seus ativos foram roubados, como pode distinguir entre um ataque de phishing e uma fuga de chave privada? Normalmente, os utilizadores podem distinguir entre estes 2 tipos de ataques pelas características específicas de cada um:

Uma das características de um ataque de phishing é que os hackers geralmente obtêm autorização para um único ativo ou vários ativos de uma única carteira de usuários através de um site de phishing, a fim de roubar os ativos. Em geral, o tipo de ativo roubado é igual ao número de vezes que o usuário autorizou o site de phishing.

二、Chave privada/Características de vazamento de palavras-chave: O hacker obtém total controle sobre todos os ativos de todas as cadeias de uma única ou várias carteiras do usuário. Portanto, se ocorrer uma ou mais das seguintes características, é provável que haja vazamento da chave privada:

1）O token nativo foi roubado (como o ETH na cadeia ETH), pois o token nativo não pode ser autorizado.

2. Os ativos de várias cadeias são roubados.

3. Roubo de bens longo Carteira.

4. Vários ativos sendo roubados de uma única carteira e lembrando claramente que não foi dada autorização para esses ativos.

5. Não há autorização antes de roubar Tokens ou na mesma transação (evento de aprovação).

6. O Gas transferido será imediatamente roubado pelos Hackers.

Se não corresponder às características acima, é muito provável que seja um ataque de phishing.

Equipe de Segurança da Carteira OKX Web3: Para evitar cair em phishing, é importante prestar atenção em duas coisas: 1) Nunca digite sua frase de recuperação/chave privada em nenhum site; 2)

Certifique-se de que o link acessado é o link oficial e clique com cuidado no botão de confirmação na interface da carteira.

接下来，我们分享一些经典钓鱼场景的套路，帮助用户更加直观的理解。

1、Falso site de phishing: sites falsos que se fazem passar por sites oficiais de DApp para induzir os utilizadores a introduzir as suas chaves privadas ou palavras-passe. Portanto, o princípio fundamental para os utilizadores é não fornecer a sua chave privada ou palavras-passe a ninguém ou a qualquer site. Em segundo lugar, verifique se o URL está correto, tente aceder aos DApp comuns através de marcadores oficiais e utilize carteiras mainstream regulares, como a carteira Web3 da OKX, que alertará para sites de phishing detetados.

2. Roubo de tokens da cadeia principal: funções maliciosas de contrato com nomes sugestivos, como “Claim”, “SeurityUpdate”, “AirDrop”, etc., com lógica de função vazia, apenas transferem tokens da cadeia principal dos usuários.

3. Transferência para endereço semelhante: os golpistas geram um endereço com algumas partes iguais ao início ou ao fim do endereço associado do usuário, usando a função transferFrom para realizar transferências de 0 de valor para envenenamento, ou usando falsos USDT para transferir certa quantia, contaminando o histórico de transações do usuário e esperando que o usuário copie o endereço incorreto do histórico de transações ao fazer transferências subsequentes.

4, Falso serviço de atendimento ao cliente: Hackers fingem ser serviços de atendimento ao cliente e entram em contato com os usuários por meio de mídias sociais ou e-mails, solicitando que forneçam a chave privada ou a frase de recuperação. O serviço de atendimento ao cliente oficial nunca solicitará a chave privada. Ignore diretamente esse tipo de solicitação.

Q4: Precauções de segurança a serem observadas ao usar várias ferramentas para pentear o pelo de forma profissional.

WTF Academy: Devido à variedade de ferramentas envolvidas pelos usuários, é importante reforçar a segurança ao usar várias ferramentas, como 01928374656574839201.

1、Carteira segura: certifique-se de que a chave privada ou a frase de recuperação não sejam divulgadas, não armazene a chave privada em locais inseguros e evite inserir a chave privada em sites desconhecidos ou não confiáveis, etc. Os usuários devem fazer backup da chave privada ou da frase de recuperação e armazená-la em um local seguro, como dispositivos de armazenamento offline ou armazenamento em nuvem criptografado. Além disso, para os usuários de carteiras com ativos de alto valor, o uso de carteiras multiassinatura pode aumentar a segurança.

2. Prevenção de ataques de phishing: Ao acessar qualquer site relacionado, verifique cuidadosamente o URL e evite clicar em links de origem desconhecida. Tente obter os links de download e informações do projeto apenas a partir do site oficial ou das mídias sociais oficiais, evitando fontes de terceiros.

3、Segurança do software: Os utilizadores devem garantir que o dispositivo tenha software antivírus instalado e atualizado para evitar ataques de malware e vírus. Além disso, devem atualizar regularmente a carteira e outras ferramentas relacionadas com blockchain para garantir a utilização das últimas correções de segurança. Devido às vulnerabilidades de segurança encontradas em muitos navegadores de impressão digital e desktop remoto, não é recomendado o seu uso.

Através dessas medidas, os usuários podem reduzir ainda mais os riscos de segurança ao usar várias ferramentas.

Equipe de Segurança da Carteira Web3 OKX: Vamos começar com um exemplo de caso público na indústria.

Por exemplo, o navegador de impressões digitais Bit oferece várias funções, como login com várias contas, prevenção de janelas associadas e simulação de informações de computador independentes, que são favorecidas por alguns usuários. No entanto, uma série de eventos de segurança em agosto de 2023 expôs seus riscos potenciais. Especificamente, a função de “sincronização de dados do plug-in” do navegador Bit permite que os usuários carreguem dados do plug-in para o servidor em nuvem e migrem rapidamente para novos dispositivos digitando uma senha. Embora essa função tenha sido projetada para conveniência do usuário, também apresenta riscos de segurança. Hackers invadiram o servidor e obtiveram os dados da carteira dos usuários. Através de ataques de força bruta, os hackers quebraram a senha da carteira dos usuários e obtiveram permissão para a carteira. Registros do servidor mostram que o servidor de cache de extensão foi baixado ilegalmente no início de agosto (o último registro é de 2 de agosto). Este incidente nos lembra de estar vigilantes em relação aos riscos de segurança potenciais enquanto desfrutamos da conveniência.

所, é crucial para os utilizadores garantirem que as ferramentas que estão a utilizar são seguras e fiáveis, a fim de evitar o risco de ataques de hackers e de fuga de dados. Geralmente, os utilizadores podem melhorar a segurança a partir das seguintes áreas.

一、Uso da carteira de hardware: 1) Atualize o firmware regularmente, adquirindo-o por meio de canais oficiais. 2) Use em um computador seguro, evitando conexões em locais públicos.

二、Uso de extensões do navegador: :) Use extensões e ferramentas de terceiros com cautela, escolha produtos de boa reputação, como a Carteira OKX Web3, sempre que possível. 2) Evite usar extensões de carteira em sites não confiáveis.

三、Uso de Ferramentas de Análise de Transações: 1) Realizar transações e interações de contrato em plataformas confiáveis. 2) Verificar cuidadosamente o endereço do contrato e os métodos de chamada para evitar operações acidentais.

四、Uso de Equipamentos de Computador: 1) Atualize regularmente o sistema do equipamento de computador, atualize o software e corrija as vulnerabilidades de segurança. 2) Software antivírus seguro, verifique e mate regularmente os vírus do sistema de computador.

Q 5 : Em comparação com um único Carteira, como pode um cortador de cabelo gerir longo Carteira e conta com mais segurança?

WTF Academy: Devido à alta frequência de interação dos usuários na cadeia e à gestão simultânea de várias carteiras e contas, é importante prestar especial atenção à segurança dos ativos.

Uso de uma carteira de hardware: Uma carteira de hardware permite que os usuários gerenciem várias contas de carteira no mesmo dispositivo, com a chave privada de cada conta armazenada no dispositivo de hardware, o que proporciona maior segurança.

Duas coisas, estratégia de segurança separada e ambiente operacional separado: primeiro, a estratégia de segurança separada, os usuários podem separar as carteiras com diferentes propósitos para dispersar o risco. Por exemplo, carteira de airdrop, carteira de transações, carteira de armazenamento, etc. Por exemplo, a carteira quente é usada para transações diárias e operações rápidas, enquanto a carteira fria é usada para armazenar ativos importantes a longo prazo, assim, mesmo que uma carteira seja comprometida, outras carteiras não serão afetadas.

其次就是分离操作环境，用户可以使用不同设备（例如手机、平板、电脑等）管理不同Carteira，防止一个设备的安全问题影响所有Carteira。

Três, Gestão de Senhas: Os usuários devem definir senhas fortes para cada conta de carteira, evitando o uso de senhas iguais ou semelhantes. Ou use um gerenciador de senhas para gerenciar as senhas de diferentes contas, garantindo que cada senha seja independente e segura.

Equipe de Segurança da Carteira Web3 OKX: Para os usuários, gerenciar de forma mais segura várias carteiras e contas não é uma tarefa fácil. Por exemplo, é possível aumentar o nível de segurança da carteira a partir das seguintes perspectivas:

1, Distribuir riscos: 1) Não coloque todos os ativos em uma única carteira, armazene-os de forma dispersa para reduzir o risco. Dependendo do tipo de ativo e do uso, escolha diferentes tipos de carteiras, como carteiras de hardware, carteiras de software, carteiras frias e carteiras quentes, etc. 2) Use carteiras com múltiplas assinaturas para gerenciar ativos de grande valor, aumentando a segurança.

**2, Backup and Restore: **1) Regularly backup mnemonic words and private keys and save them in multiple secure locations. 2) Use a hardware wallet for cold storage to avoid private key leakage.

3, Evite senhas duplicadas: Defina senhas fortes separadamente para cada carteira e conta, evite usar a mesma senha para reduzir o risco de comprometer uma conta e ameaçar outras contas ao mesmo tempo.

4、Ativar autenticação de dois fatores: Sempre que possível, ative a autenticação de dois fatores (2FA) para todas as contas, aumentando a segurança da conta.

5, Ferramentas automatizadas: Reduza o uso de ferramentas automatizadas, especialmente aquelas que podem armazenar suas informações na nuvem ou em servidores de terceiros, para diminuir o risco de vazamento de dados.

**6、限制访问权限：**Apenas autorize pessoas de confiança a aceder à sua Carteira e conta, e limite as suas permissões de operação.

7, Verifique regularmente o estado de segurança da carteira: Use ferramentas para monitorar transações na carteira, garantindo que nenhuma transação anormal ocorra. Se uma chave privada da carteira for comprometida, substitua imediatamente todas as carteiras, etc.

Além das várias dimensões mencionadas acima, existem muitas outras. De qualquer forma, os usuários devem garantir a segurança da carteira e dos ativos através de várias dimensões, não dependendo apenas de uma única dimensão.

Q 6: Quais são as sugestões de proteção relacionadas a deslizamento de negociação, ataques MEV e outros que são relevantes para os traders?

**WTF Academy: **É crucial entender e prevenir deslizamento de negociação e ataques de MEV, pois esses riscos afetam diretamente o custo de transação e a segurança dos ativos.

拿 MEV ataque, os tipos comuns incluem: 1) Front-Run, onde mineiros ou robôs de negociação executam a mesma negociação antes do usuário para obter lucro. 2) Ataque de sanduíche, onde mineiros inserem ordens de compra e venda antes e depois da negociação do usuário, lucrandocom a flutuação de preços. 3) Arbitragem: lucrar com as diferenças de preços entre diferentes mercados na cadeia.

Os utilizadores podem enviar transações para os mineiros através de um canal dedicado usando a ferramenta de proteção MEV, evitando a transmissão pública na cadeia de blocos. Ou reduzir o tempo de exposição das transações, ou seja, reduzir o tempo que as transações permanecem na pool de memória, aumentar as taxas de gas para acelerar a velocidade de confirmação das transações, evitar transações de grande volume concentradas numa única plataforma de DEX, entre outras medidas, para reduzir o risco de ataques.

Equipa de Segurança da Carteira Web3 OKX: O deslizamento de negociação refere-se à diferença entre o preço de negociação esperado e o preço efetivamente executado, geralmente ocorrendo em períodos de flutuações de mercado significativas ou baixa liquidez. Um ataque MEV ocorre quando um atacante obtém lucros excedentes ao explorar assimetria de informações e privilégios de transação. Abaixo estão algumas medidas comuns de proteção para esses dois cenários.

1、Definir a tolerância ao deslizamento: devido ao atraso na negociação on-chain e possíveis ataques MEV, os usuários precisam definir antecipadamente uma tolerância ao deslizamento razoável para evitar falhas na negociação ou perda de fundos devido à flutuação do mercado ou a ataques MEV.

2. Transações em lote: Evite transações de grandes quantias de uma só vez e faça transações em lotes para reduzir o impacto no preço de mercado e diminuir o risco de deslizamento.

3. Use trading pairs with higher liquidity: When trading, choose trading pairs with sufficient liquidity to reduce the occurrence of slippage.

4. Use anti-front running tools: Try to avoid using Memepool for important transactions and protect your transactions from being captured by MEV robots by using professional anti-front running tools.

Q 7: O usuário pode usar ferramentas de monitoramento ou métodos profissionais para monitorar e detectar regularmente anormalidades na conta da carteira?

WTF Academy： Os utilizadores podem utilizar várias ferramentas de monitorização e métodos profissionais para monitorizar regularmente e detetar atividades anómalas na carteira da conta. Estes métodos ajudam a aumentar a segurança da conta, evitando acessos não autorizados e potenciais atividades fraudulentas. Aqui estão alguns métodos eficazes de monitorização e deteção:

1）Serviço de monitorização de terceiros: Atualmente, muitas plataformas podem fornecer aos usuários relatórios detalhados de atividades da carteira e alertas em tempo real.

2）使用安全插件：部分安全工具可以自动屏蔽掉部分钓鱼网站。 → 2) Usar plug-ins de segurança: Algumas ferramentas de segurança podem automaticamente bloquear alguns sites de phishing.

3）A função embutida da carteira: carteiras como OKX Web3 podem detectar e identificar automaticamente alguns sites de phishing e contratos suspeitos, fornecendo avisos aos usuários.

Equipe de Segurança da Carteira Web3 da OKX: Atualmente, muitas empresas ou organizações fornecem uma grande variedade de ferramentas para monitorar e detectar endereços de carteira. Com base em informações públicas do setor, compilamos algumas delas, como:

1、Ferramenta de monitoramento de bloco de cadeia: Use ferramentas de análise de bloco de cadeia para monitorar transações anormais de endereços de carteira, mudanças de fundos, e configure notificações de transações de endereços, etc.

2, Carteira Segura: Use carteiras profissionais como a Carteira Web3 da OKX para suportar a pré-execução de transações e detectar transações suspeitas em tempo hábil; também pode detectar e bloquear interações com sites maliciosos e contratos.

3. Sistema de alarme(s): pode enviar alertas com base nas condições definidas pelo usuário para transações ou alterações de saldo, incluindo SMS, e-mail ou notificações no aplicativo.

4, Verificação de autorização de token OKLink: verifique a autorização da carteira para DApps, revogue a autorização desnecessária a tempo para evitar o uso indevido de contratos maliciosos.

Q 8: Como proteger a segurança de privacidade na cadeia?

**WTF Academy: **Embora as características transparentes e públicas da blockchain tenham trazido muitos benefícios, também significa que as atividades de transação e as informações de ativos dos usuários podem ser abusadas, tornando a proteção da privacidade na cadeia cada vez mais importante. No entanto, os usuários podem proteger sua identidade pessoal criando e usando vários endereços. Não é recomendado o uso de navegadores de impressão digital, pois já ocorreram várias vulnerabilidades de segurança no passado.

Equipe de Segurança da Carteira Web3 OKX: Cada vez mais usuários estão começando a prestar atenção à proteção da privacidade e existem várias maneiras comuns de fazer isso.

1、Carteira longo gestão: dispersar ativos do usuário, Gota risco de rastreamento ou ataque a uma única carteira.

2. Use de uma carteira com várias assinaturas: requer várias assinaturas para executar transações, aumentando a segurança e a privacidade.

3, Carteira fria: Armazene ativos de longo prazo em uma carteira de hardware ou armazenamento offline para evitar ataques online.

4, não divulgue o seu endereço: evite compartilhar o endereço da sua carteira em redes sociais ou plataformas públicas para evitar ser rastreado por terceiros.

5、Usar um email temporário: ao participar num airdrop ou noutra atividade, utilize um endereço de email temporário para proteger as informações pessoais de serem expostas.

Q 9: Se a conta da carteira for roubada, como os usuários devem lidar com isso? Quais esforços foram feitos ou quais mecanismos foram estabelecidos para ajudar os usuários a recuperar seus ativos e proteger seus ativos?

WTF Academy: Nós abordamos ataques de phishing e vazamento de chave privada/palavras-chave separadamente.

首先，当 ocorre um ataque de phishing, os ativos autorizados pelo usuário serão transferidos para a carteira do hacker, e esta parte é praticamente impossível de resgatar; no entanto, os ativos restantes na carteira do usuário são relativamente seguros. A equipe RescuETH recomenda que os usuários tomem as seguintes medidas:

1. Revogar a autorização de ativos concedida aos hackers

2）Contacte uma empresa de segurança para rastrear os ativos roubados e o endereço do hacker.

其次，当私钥/助记词泄露时，用户钱包中所有有价值的资产会被转移到黑客钱包，这部分几乎无法救援/追回，但用户钱包当前无法被转移走的资产是可以被救援的，比如未解锁的质押资产和未发放的空投，这也是我们的主要救援目标。RescuETH 团队建议用户采取以下措施：

1）Verifique imediatamente na carteira se existem ativos não transferidos por hackers e, se houver, transfira-os imediatamente para uma carteira segura. Às vezes, os hackers podem perder alguns ativos de cadeias menos conhecidas.

2）Se a carteira tiver ativos de stake não desbloqueados e airdrops não distribuídos, pode contactar a equipa profissional para assistência.

3. Se suspeitar que foi instalado malware, execute uma varredura antivírus no seu computador e remova o malware o mais rápido possível. Se necessário, reinstale o sistema.

Atualmente, fizemos muitas tentativas para resgatar os ativos dos usuários roubados.

Em primeiro lugar, somos a primeira equipe a realizar um resgate em larga escala dos ativos de carteiras roubadas. Durante a atividade de airdrop do Arbitrum em março de 2023, consegui coletar mais de 40 chaves privadas de carteiras vazadas de quase 20 fãs e consegui superar os hackers no airdrop do $ARB. No final, conseguimos resgatar com sucesso mais de $40.000 em tokens ARB, com uma taxa de sucesso de 80%.

Segundo, quando a carteira do usuário é hackeada, os ativos de valor econômico são transferidos pelo hacker, enquanto os NFTs ou ENSs sem valor econômico, mas com valor sentimental para o usuário, permanecem na carteira. No entanto, devido ao monitoramento da carteira pelo hacker, o gas transferido será imediatamente retirado e o usuário não poderá transferir esses ativos. Para lidar com isso, desenvolvemos um aplicativo de resgate chamado RescuETH App, que utiliza a tecnologia MEV de pacotes Flashbots para agrupar transações de entrada de gas e saída de NFT/ENS, impedindo que scripts de monitoramento do hacker retirem o gas e, assim, resgatar com sucesso os ativos. Atualmente, o RescuETH App está em fase de teste interno e está previsto para entrar em beta público em junho.

Terceiro, para os ativos resgatáveis (stake não desbloqueado e airdrop não distribuído) em carteiras de usuários roubadas, oferecemos um serviço de resgate personalizado e remunerado por white hat. Atualmente, nossa equipe de white hat é composta por quase 20 especialistas em segurança/MEV e já recuperou mais de 3 milhões de RMB em ativos de carteiras roubadas em várias redes, como ETH, Solana, Cosmos, etc.

Equipe de segurança da Carteira Web3 OKX: Abordamos isso de duas perspectivas: medidas do usuário e mecanismos de segurança da Carteira Web3 OKX.

一、Medidas do usuário

Usuários que descobrirem que suas carteiras foram roubadas devem tomar as seguintes medidas urgentes:

1. Medidas de resposta a emergências

1）Transferir fundos imediatamente: Se houver fundos na carteira, é necessário transferi-los imediatamente para um novo endereço seguro.

2. Revogar autorização: Revogue imediatamente todas as autorizações através da ferramenta de gerenciamento para evitar perdas adicionais.

3）Rastrear o fluxo de fundos: rastrear prontamente o fluxo de fundos roubados, organizar informações detalhadas sobre o processo de roubo para buscar ajuda externa.

2. Suporte da comunidade e do projeto.

1. Procurar ajuda do projeto e da comunidade: Reportar o incidente ao projeto e à comunidade, pois às vezes o projeto pode congelar ou recuperar os ativos roubados. Por exemplo, o USDC possui um mecanismo de lista negra que pode bloquear a transferência de fundos.

2）Participar de uma organização de segurança blockchain: junte-se a uma organização ou grupo de segurança blockchain relevante para resolver problemas coletivamente.

3. Contacte o suporte ao cliente da carteira: entre em contato com a equipe de suporte ao cliente da carteira para obter assistência profissional e orientação.

二、OKX Carteira Web3 mecanismo de segurança

A carteira Web3 da OKX valoriza muito a segurança dos ativos dos usuários e está constantemente investindo na proteção desses ativos, fornecendo múltiplos mecanismos de segurança para garantir a segurança dos ativos digitais dos usuários.

1）Biblioteca de etiquetas de endereços não confiáveis: A carteira Web3 do OKX estabeleceu uma extensa biblioteca de etiquetas de endereços não confiáveis para evitar que os usuários interajam com endereços maliciosos conhecidos. Essa biblioteca de etiquetas é constantemente atualizada para lidar com ameaças de segurança em constante mudança e garantir a segurança dos ativos dos usuários.

2）Segurança do plugin: A carteira Web3 OKX oferece uma função de proteção contra phishing embutida, ajudando os usuários a identificar e bloquear possíveis links maliciosos e solicitações de transação, melhorando a segurança de suas contas.

3. Suporte Online 24 horas: A carteira Web3 da OKX oferece suporte online 24 horas aos clientes, acompanhando prontamente casos de roubo e fraude de ativos dos clientes, garantindo que os usuários possam obter ajuda e orientação rapidamente.

4. Educação do usuário: A carteira Web3 da OKX regularmente lança dicas de segurança e materiais educativos para ajudar os usuários a aumentar a consciência de segurança, entender como se proteger contra riscos de segurança comuns e proteger seus ativos.

Q1 0: Pode partilhar alguma tecnologia de segurança avançada, como usar IA para reforçar a proteção de segurança?

WTF Academy: A segurança no campo da blockchain e Web3 é um campo em constante desenvolvimento, com uma variedade de tecnologias e métodos de segurança avançados emergindo constantemente. Atualmente, alguns dos mais populares são:

1）Contrato inteligente auditoria: A auditoria de contrato inteligente automatizada usando IA e aprendizado de máquina pode detectar falhas e riscos potenciais nos contratos inteligentes, fornecendo uma análise mais rápida e abrangente do que a auditoria manual tradicional.

2）Detecção de comportamento anormal: análise de transações e padrões de comportamento na cadeia usando algoritmos de aprendizado de máquina para detectar atividades suspeitas e possíveis ameaças à segurança. A IA pode identificar padrões de ataque comuns (como ataques MEV, ataques de phishing) e comportamentos de transação anormais, fornecendo alertas em tempo real.

3. Detecção de Fraude: A IA pode analisar o histórico de transações e o comportamento do usuário para identificar e marcar possíveis atividades fraudulentas.

Equipe de segurança da carteira OKX Web3: Atualmente, a IA já tem muitas aplicações práticas no campo do Web3. Abaixo estão alguns cenários nos quais a IA é usada para aumentar a proteção de segurança do Web3.

Primeiro, detecção de anomalias e detecção de intrusões: usando IA e modelos de aprendizado de máquina, analisar os padrões de comportamento do usuário e detectar atividades anormais. Por exemplo, é possível usar modelos de aprendizado profundo para analisar o comportamento de negociação e atividades da carteira, identificando comportamentos maliciosos ou atividades anormais potenciais.

Em segundo lugar, identificação de sites de phishing: a IA pode analisar o conteúdo da página e as características dos links para detectar e bloquear sites de phishing, protegendo os usuários contra ameaças de ataques de phishing.

第三，检测恶意软件：A IA pode detetar malware novo e desconhecido analisando o comportamento e as características dos ficheiros, evitando que os utilizadores descarreguem e executem programas maliciosos.

Quarta, resposta automatizada a ameaças: a IA pode tomar medidas de resposta automatizadas, como congelar contas ou realizar outras operações de proteção após detectar atividades suspeitas.

Por último, obrigado por ler a 3ª edição da seção “Especial de Segurança” da carteira Web3 da OKX. Atualmente, estamos nos preparando intensamente para a 4ª edição, que incluirá casos reais, identificação de riscos e dicas de segurança operacional. Fique atento!

Declaração de exoneração de responsabilidade

Este artigo é apenas para referência e não pretende fornecer (i) conselhos ou recomendações de investimento; (ii) oferta ou solicitação para comprar, vender ou manter ativos digitais; ou (iii) conselhos financeiros, contábeis, legais ou fiscais. A posse de ativos digitais (incluindo stablecoins e NFTs) envolve alto risco e pode sofrer flutuações significativas, até mesmo perder todo o seu valor. Você deve considerar cuidadosamente se a negociação ou a posse de ativos digitais são adequadas para sua situação financeira. É responsabilidade sua conhecer e cumprir as leis e regulamentos locais aplicáveis.