OKX Web3 & WTF Academy: секунда назад вы усердно махали шерстью, а в следующую секунду вас «взломали» хакеры?

Введение: Кошелек OKX Web3 специально разработал раздел “Специальный выпуск по безопасности”, чтобы ответить на различные типы проблем безопасности в блокчейне. Через реальные случаи, происходящие вокруг пользователей, и совместно с экспертами или организациями в области безопасности, мы предлагаем двойное рассмотрение и ответы с разных точек зрения. Наша цель - укрепить образование пользователей в области безопасности и помочь им начать защищать свои закрытые ключи и активы в кошельке, начиная с себя.

Работа волос свирепая, как у тигра, а запас прочности минус 5 ?

Как частый пользователь в блокчейне, безопасность всегда на первом месте для тех, кто занимается майнингом.

Сегодня два ведущих в блокчейне “короля безопасности” научат вас, как осуществлять стратегию безопасной защиты.

Данный выпуск является третьим номером специального выпуска по безопасности, в котором приглашенные известные в отрасли безопасности эксперт 0x AA и команда по безопасности OKX Web3 кошелька расскажут о распространенных рисках безопасности и мерах предосторожности для пользователей.

WTF Academy: Большое спасибо за приглашение от OKX Web3, я представляю WTF Academy 0x AA. WTF Academy - это университет с открытым исходным кодом Web3, который помогает разработчикам освоиться в разработке Web3. В этом году мы инкубировали проект по оказанию помощи в сети Web3 RescuETH (ряда спасательных операций), который специализируется на помощи пользователям с похищенными кошельками, и уже успешно оказал помощь более чем 3 миллионам юаней похищенных активов на Ethereum, Solana и Cosmos.

Команда безопасности кошелька Web3 OKX: Всем привет, мы очень рады поделиться с вами сегодня. Основная задача команды безопасности кошелька Web3 OKX - создание различных безопасных возможностей в области Web3 для OKX, таких как обеспечение безопасности кошелька, аудит безопасности смарт-контрактов, мониторинг безопасности проектов в блокчейне и т. д., предоставляя пользователям многоуровневую защиту продуктов, безопасность средств и безопасность сделок, и внося свой вклад в обеспечение безопасности всей экосистемы блокчейна.

Q1: Пожалуйста, поделитесь несколькими реальными случаями риска, с которыми сталкивались люди, занимающиеся майнингом.

**WTF Academy：**Закрытый ключ представляет собой один из серьезных рисков безопасности, с которым сталкиваются пользователи приложения. По своей сути, закрытый ключ является набором символов, используемых для управления зашифрованными активами, и любой, у кого есть этот ключ, может полностью контролировать соответствующие зашифрованные активы. Если закрытый ключ станет известен злоумышленнику, он сможет несанкционированно получить доступ к активам, перемещать и управлять ими, что приведет к финансовым потерям для пользователя. Поэтому я сосредоточусь на нескольких случаях кражи закрытых ключей.

Алиса (псевдоним) была соблазнена хакером на скачивание вредоносного ПО на социальных медиа. После запуска этого вредоносного ПО ее закрытый ключ был украден. В настоящее время вредоносное ПО принимает различные формы, включая, но не ограничиваясь, майнинг-скриптами, играми, конференционным ПО, скриптами для атаки на кошельки и т. д. Пользователи должны повысить уровень безопасности.

Bob（化名）неосторожно загрузил свой закрытый ключ на GitHub и стал жертвой взлома, что привело к краже его активов.

Карл (под вымышленным именем) обратился в официальную группу Tegegram проекта, чтобы задать вопрос, и доверился фальшивому сервисному сотруднику, который сам связался с ним, и утечка своей секретной фразы, после чего его средства были похищены из кошелька.

Команда безопасности OKX Web3 кошелька: Возникает много случаев подобного рода рисков, мы выбрали несколько классических случаев, с которыми сталкивались пользователи при использовании кошелька.

Первый тип - высококачественные фальшивые аккаунты, которые размещают фальшивые воздушные капли. Пользователь A, просматривая Twitter некоторого популярного проекта, обнаруживает объявление о проведении воздушной капли внизу последнего Twitter, сразу же нажимает на ссылку этого объявления, чтобы принять участие в воздушной капле, в результате чего попадает на phishing. В настоящее время многие рыбаки, используя высококачественные официальные учетные записи, размещают ложные объявления под официальным твиттером, чтобы заманить пользователей, пользователи должны быть внимательны и не расслабляться.

Второй тип - официальные учетные записи были захвачены. Официальный аккаунт Twitter и Discord определенного проекта подвергся атаке хакеров, после чего хакеры опубликовали поддельную ссылку на активность по воздушной капле на официальном аккаунте проекта. Поскольку ссылка была опубликована из официального источника, пользователь B не подозревал ее подлинность и, нажав на нее, стал жертвой фишинга.

Третий тип - злонамеренные разработчики. Пользователь C принимает участие в майнинговой активности какого-то проекта и, чтобы получить более высокий доход от вознаграждения, вкладывает все свои активы USDT в стэйкинговый контракт этого проекта. Однако этот смарт-контракт не был строго проверен и не является открытым исходным кодом, и в результате разработчики проекта через заднюю дверь, предусмотренную в контракте, крадут все активы, вложенные пользователем C.

Для пользователей криптовалюты владение десятками или сотнями кошельков является нормой. Как обеспечить безопасность кошельков и активов — это очень важная тема, требующая постоянного бдительности и повышенного осознания мер безопасности.

Q2: в качестве частого пользователя, типичные виды рисков безопасности и меры защиты для пользователей в блокчейне

**WTF Academy：**Для пользователей Web3, включая пользователей, занимающихся майнингом, существует два распространенных типа угроз безопасности: фишинговые атаки и утечка закрытого ключа.

Первый тип - это фишинговые атаки: хакеры обычно выдают себя за официальные веб-сайты или приложения, обманом заставляют пользователей нажимать на социальные сети и поисковые системы, а затем обманом заставляют пользователей совершать транзакции или подписывать подписи на фишинговых веб-сайтах, чтобы получить авторизацию токена и украсть активы пользователей.

Первое, рекомендуется пользователям входить на официальный сайт и приложение только через официальные источники (например, ссылки в описании официального аккаунта в Twitter). Второе, пользователи могут использовать безопасные плагины для автоматического блокирования некоторых фишинговых сайтов. Третье, если пользователи сомневаются в надежности сайта, они могут обратиться за помощью к профессиональным специалистам по безопасности, чтобы определить, является ли сайт фишинговым.

Второй тип - это утечка закрытого ключа: о нем уже упоминалось в предыдущем вопросе, поэтому здесь не будем подробно останавливаться.

Функции защиты: во-первых, если на компьютере или мобильном телефоне пользователя установлен кошелек, старайтесь не загружать подозрительное программное обеспечение из неофициальных источников. Во-вторых, пользователи должны знать, что официальная служба поддержки обычно не инициирует личные сообщения и никогда не просит отправлять или вводить закрытый ключ и мнемоническую фразу на фальшивых веб-сайтах. В-третьих, если для проекта с открытым исходным кодом пользователя требуется использование закрытого ключа, сначала настройте файл .gitignore, чтобы гарантировать, что закрытый ключ не будет загружен на GitHub.

Команда по безопасности кошелька OKX Web3: Мы собрали информацию о пяти общих типах рисков безопасности, с которыми пользователи сталкиваются при взаимодействии с блокчейном, и предоставили некоторые меры по защите от каждого типа риска.

1. Мошенничество с аирдропом

Риск: некоторые пользователи часто обнаруживают, что в их кошельке появляется большое количество неизвестных токенов, которые обычно не удается обменять на популярных торговых площадках DEX, а страница указывает, что пользователь должен обратиться к официальному сайту для обмена. Затем, при совершении авторизованной транзакции, пользователю часто предоставляется разрешение на передачу активов счета через смарт-контракт, что в итоге приводит к краже активов. Например, мошенничество с бесплатным распределением Zape: многие пользователи внезапно получают большое количество монет Zape в своем кошельке, стоимость которых кажется составляющей сотни тысяч долларов США. Это заставляет многих людей ошибочно думать, что они внезапно разбогатели. Однако на самом деле это хорошо спланированная ловушка. Поскольку эти токены нельзя найти на официальных платформах, многие пользователи, стремясь обналичить их, ищут так называемый “официальный сайт” на основе имени токена. После подключения кошелька, они думают, что смогут продать эти токены, но как только дано разрешение, все активы в кошельке будут немедленно похищены.

Защитные меры: чтобы избежать мошенничества с воздушным сбросом, пользователи должны быть особенно бдительными, проверять источник информации и всегда получать информацию о воздушном сбросе из официальных источников (таких как официальный веб-сайт проекта, официальные социальные медиа-аккаунты и официальные объявления). Защитите свой закрытый ключ и секретную фразу восстановления, не платите никакую плату и используйте сообщество и инструменты для проверки и выявления потенциальных мошеннических схем.

2. Злонамеренный смарт-контракт

Введение в риск: множество непроверенных или незакрытых исходных кодов умных контрактов может содержать уязвимости или задние двери, что не гарантирует безопасность пользовательских средств.

Способы защиты: пользователи должны взаимодействовать только с смарт-контрактами, которые прошли строгую проверку со стороны регулярно аудитируемых компаний, или обратить внимание на отчеты об аудите безопасности проекта. Кроме того, проекты, у которых есть bug bounty, обеспечивают более высокий уровень безопасности.

3. Управление авторизацией:

Риск описания: слишком много разрешений для взаимодействия с контрактом может привести к краже средств. Вот примеры: 1) контракт может быть обновляемым, если ключ привилегированного аккаунта утрачен, злоумышленник может использовать этот ключ для обновления контракта до злонамеренной версии и, таким образом, украсть активы, уполномоченные пользователем. 2) если в контракте есть неопознанные уязвимости, избыточные разрешения могут позволить злоумышленнику использовать эти уязвимости в будущем для кражи средств.

Важные меры безопасности: в принципе, предоставляйте только необходимые полномочия для взаимодействия с контрактами и регулярно проверяйте и отзывайте ненужные полномочия. При подписании разрешений на вне блокчейна, обязательно уточняйте целевой контракт/тип активов/разрешаемую сумму, обдумывайте свои действия.

4. Рыбалка с разрешения

Нажатие на вредоносную ссылку и предоставление разрешения на вредоносный контракт или пользователю может повлечь за собой риск.

Функции защиты: 1) Избегайте слепого подписания: перед подписанием любой сделки убедитесь, что вы понимаете содержание сделки, которую собираетесь подписать, и что каждый шаг операции четко определен и необходим. 2) Осторожно относитесь к цели авторизации: если цель авторизации - это адрес EOA (внешний управляемый аккаунт) или непроверенный контракт, будьте бдительны. Непроверенные контракты могут содержать вредоносный код. 3) Используйте кошелек с защитой от фишинга: используйте кошельки с плагинами защиты от фишинга, например, OKX Web3 кошелек, которые могут помочь идентифицировать и блокировать вредоносные ссылки. 4) Защищайте мнемонические слова и закрытые ключи: все веб-сайты, требующие предоставления мнемонических слов или закрытых ключей, представляют собой ссылки на рыбалку, не вводите эти чувствительные данные на любом веб-сайте или приложении.

5. Вредоносные скрипты

Риск: запуск вредоносного сценария может привести к заражению компьютера трояном, что может привести к краже закрытого ключа.

Берегите себя: будьте осторожны при запуске неизвестных скриптов или программ для обработки шерсти.

В общем, мы надеемся, что пользователи будут осторожными и защитят безопасность своего кошелька и активов при взаимодействии в блокчейне.

Q3: Обзор классических типов рыбалки и методов, а также как их распознавать и избегать?

WTF Academy: Я хочу ответить на этот вопрос с другой точки зрения: как определить, является ли кража активов рыболовным нападением или утечкой приватного ключа, после того как пользователь обнаружил, что его активы были украдены? Пользователь обычно может определить это по характерным признакам этих двух типов атак:

Особенности фишинг-атак: Хакеры обычно получают доступ к одному или нескольким активам пользователя, находящимся в единственном кошельке, через фишинговые сайты, чтобы кражи активов. Обычно количество украденных активов соответствует количеству раз, когда пользователям было предоставлено разрешение на фишинговом сайте.

Две особенности утечки приватного ключа/мнемонической фразы: хакер получает полный контроль над всеми активами на всех цепочках, связанных с кошельком пользователя. Поэтому, если имеются одна или несколько из следующих характеристик, вероятно, произошла утечка приватного ключа:

1）Нативный токен был похищен (например, ETH на сети ETH), поскольку нативный токен не может быть авторизован.

2）Множественные активы были украдены.

3. Хищение лонг Кошелек активов.

4）Одна единственная кошелек множество активов были украдены, и я ясно помню, что не разрешал эти активы.

5. Отсутствует авторизация перед кражей Токенов или в той же транзакции (событие Approval).

6. Переданный газ сразу же будет украден хакером.

Если не соответствует указанным характеристикам, скорее всего, это фишинговая атака.

Команда безопасности кошелька OKX Web3: Чтобы избежать рыболовства, обратите внимание на два важных момента: 1) Никогда не вводите мнемоническую фразу / закрытый ключ на любой веб-странице; 2)

Убедитесь, что вы посещаете официальную ссылку, будьте осторожны при нажатии кнопки подтверждения на экране кошелька.

Далее мы поделимся некоторыми классическими приемами рыбалки, чтобы помочь пользователям более наглядно понять.

1. Веб-сайты-подделки: подделка официального веб-сайта DApp, с целью собрать у пользователей их закрытые ключи или мнемонические фразы. Поэтому для пользователей важно не предоставлять никому и никакому веб-сайту свои закрытые ключи или мнемонические фразы. Кроме того, следует проверить правильность адреса веб-сайта, и по возможности использовать официальные закладки для доступа к часто используемым DApp и использовать надежные, популярные кошельки, такие как OKX Web3, которые предупреждают о поддельных веб-сайтах.

2. Воровство токенов основной блокчейн: злонамеренные функции контракта с именами Claim, SeurityUpdate, AirDrop и другими провокационными именами, фактическая логика функции пуста, только переводит токены пользователей основного блокчейна.

3, Адреса схожих переводов: мошенники могут создавать адреса с несколькими совпадающими начальными или конечными символами в связанных с пользователем адресах, используя адресное столкновение, и осуществлять передачу с нулевой суммой через transferFrom, чтобы отравить или осуществлять перевод определенной суммы через фальшивый USDT и загрязнять историю транзакций пользователя, с надеждой, что пользователь скопирует неправильный адрес из истории транзакций.

4、Мошенничество с поддельным обслуживанием клиентов: хакеры выдают себя за сотрудников службы поддержки и связываются с пользователями через социальные сети или электронную почту, требуя предоставить закрытый ключ или мнемоническую фразу. Официальная служба поддержки никогда не будет требовать предоставить закрытый ключ, поэтому игнорируйте такие запросы.

Q4: Профессиональные обработчики шерсти должны обратить внимание на меры безопасности при использовании различных инструментов.

**WTF Academy：**Из-за разнообразия инструментов, используемых пользователями, необходимо усилить меры безопасности при использовании различных инструментов, например, 01928374656574839201.

1、Безопасность кошелька: убедитесь, что закрытый ключ или мнемоническая фраза не утекли, не храните закрытый ключ в небезопасных местах и избегайте ввода закрытого ключа на незнакомых или недоверенных веб-сайтах и т. д. Пользователи должны резервировать закрытый ключ или мнемоническую фразу в безопасном месте, таком как офлайн-устройство хранения или зашифрованное облачное хранилище. Кроме того, для пользователей кошельков с высокоценными активами использование мультиподписного кошелька может повысить безопасность.

2、Предотвращение фишинг-атак: при посещении любых связанных веб-сайтов пользователи должны тщательно проверять адрес сайта, избегая нажатия на ссылки из неизвестных источников. Рекомендуется получать ссылки для загрузки и информацию из официального веб-сайта проекта или официальных социальных медиа, избегая использования сторонних источников.

3, безопасность программного обеспечения: пользователь должен убедиться, что на устройстве установлены и обновлены антивирусные программы, чтобы предотвратить вредоносные программы и атаки вирусов. Кроме того, регулярно следует обновлять кошелек и другие инструменты, связанные с блокчейном, чтобы обеспечить использование последних безопасных исправлений. Из-за ранее возникших уязвимостей в отпечатках пальцев и удаленном рабочем столе не рекомендуется их использование.

通过以上措施，用户可以进一步Падение在使用各类工具时的安全风险。

OKX Кошелек Web3 команда безопасности: Давайте начнём с открытого случая в индустрии.

Например, браузер отпечатков пальцев биткойнов предоставляет функции множественного входа в систему, предотвращения связи окон и имитации независимой информации компьютера, которые пользуются некоторой популярностью среди пользователей. Однако серия безопасностных инцидентов в августе 2023 года выявила потенциальные риски. В частности, функция «синхронизации данных плагинов» браузера биткойнов позволяет пользователям загружать данные плагинов на облачный сервер и быстро переносить их на новое устройство, введя пароль. Хотя эта функция была разработана для удобства пользователей, она также имеет уязвимости безопасности. Хакеры взломали сервер и получили доступ к кошельку пользователя. С помощью атаки методом перебора паролей, хакеры взломали пароль кошелька пользователя и получили доступ к его счету. Согласно журналам сервера, сервер с кэшем расширений был незаконно загружен в начале августа (журналы сохранились по состоянию на 2 августа). Этот инцидент напоминает нам о потенциальных рисках безопасности, с которыми мы сталкиваемся, пользуясь удобствами.

Таким образом, для пользователя крайне важно обеспечить безопасность и надежность используемых инструментов, чтобы избежать риска хакерских атак и утечки данных. Обычно пользователь может повысить уровень безопасности, руководствуясь следующими аспектами.

Одним из способов использования аппаратного кошелька является:

1. Регулярное обновление прошивки через официальный канал.
2. Использование на безопасном компьютере, избегая подключения в общественных местах.

Второе, использование браузерных плагинов: 1) Осторожно использовать сторонние плагины и инструменты, по возможности выбирать продукты с хорошей репутацией, такие как кошелек OKX Web3. 2) Избегать использования плагинов кошелька на недоверенных сайтах.

Третье, использование аналитических инструментов для торговли: 1) Торговля и взаимодействие с контрактами на надежной платформе. 2) Тщательно проверьте адрес контракта и вызываемые методы, чтобы избежать ошибок в операциях.

四、使用计算机设备： 1）定期更新计算机设备系统，更新软件，修补安全漏洞。2）安装安全防病毒软件，定期对计算机系统进行病毒查杀。

В 5 : По сравнению с одним Кошелек, как стрижка может управлять лонг Кошелек и счет более безопасно?

**WTF Academy：**В связи с высокой частотой взаимодействия пользователей в блокчейне и одновременным управлением несколькими кошельками и счетами, особое внимание следует уделять безопасности активов.

Один. Использование аппаратного кошелька: аппаратный кошелек позволяет пользователям управлять несколькими счетами кошелька на одном устройстве, причем закрытый ключ каждого счета хранится в аппаратном устройстве, что обеспечивает более высокий уровень безопасности.

Второе, разделение стратегии безопасности и разделение рабочей среды: в первую очередь - разделение стратегии безопасности, пользователи могут разделять кошельки для разных целей, чтобы достичь цели диверсификации рисков. Например, кошельки для воздушных капель, торговли, хранения и т. Д. Например, горячий кошелек используется для ежедневных операций и сделок, а холодный кошелек - для долгосрочного хранения ценных активов, таким образом, если один кошелек поврежден, другие кошельки не будут затронуты.

Во-вторых, это отделение среды операций, пользователи могут использовать разные устройства (например, телефоны, планшеты, компьютеры и т. д.) для управления разными кошельками, чтобы предотвратить влияние проблем безопасности одного устройства на все кошельки.

Три, управление паролями: Пользователи должны устанавливать сильные пароли для каждого кошелька, избегая использования одинаковых или похожих паролей. Или использовать менеджер паролей для управления паролями разных аккаунтов, чтобы гарантировать их независимость и безопасность.

OKX Команда безопасности кошелька Web3: Для пользователей, занимающихся майнингом, управление несколькими кошельками и аккаунтами в безопасности представляет собой непростую задачу. Например, можно повысить уровень безопасности кошелька, руководствуясь следующими принципами:

1、Распределение рисков: 1）Не храните все активы в одном кошельке, распределите их хранение для снижения риска. В зависимости от типа активов и их назначения, выберите различные типы кошельков, такие как аппаратные кошельки, программные кошельки, холодные кошельки и горячие кошельки и т.д. 2）Используйте кошельки с мультиподписью для управления большими суммами активов и повышения безопасности.

2、备份和恢复： 1）定期备份助记词和Закрытый ключ，保存在лонг个анскарендов。2）使用аппаратный кошелек进行冷存储，避免Закрытый ключ泄露。

3, избегайте повторения паролей: для каждого кошелька и счета установите сильный пароль отдельно, избегайте использования одинаковых паролей, чтобы уменьшить риск взлома одного счета, что может угрожать другим счетам.

4, включите двухфакторную аутентификацию: При возможности включите двухфакторную аутентификацию (2FA) для всех аккаунтов, чтобы улучшить безопасность аккаунта.

5、Автоматизированные инструменты: Сократите использование автоматизированных инструментов, особенно тех, которые могут сохранять вашу информацию в облаке или на сторонних серверах, чтобы снизить риск утечки данных.

6、Ограничение доступа: Разрешайте доступ только доверенным лицам к вашему кошельку и счету, ограничивая их права на операции.

**7、定期检查钱包安全状态：**使用工具监控钱包交易，确保没有异常交易发生，如果发现其中有钱包私钥泄漏，立即更换所有钱包等等.

Кроме нескольких указанных выше измерений, есть и много других, в любом случае, пользователь должен использовать как можно больше измерений для обеспечения безопасности кошелька и активов, не полагаясь только на одно измерение.

Q 6: Какие существуют рекомендации по защите от проскальзывания сделок, атак MEV и других рисков, связанных с торговлей и майнингом?

WTF Academy: Понимание и предотвращение проскальзывания и атаки MEV критически важны, эти риски непосредственно влияют на стоимость транзакции и безопасность активов.

Для атаки MEV существуют несколько распространенных типов: 1) фронтран, то есть майнер или торговый робот, выполняющий ту же самую сделку раньше пользователя, чтобы получить прибыль. 2) атака “сэндвич”, при которой майнер вставляет ордера на покупку и продажу до и после сделки пользователя, чтобы получить прибыль от колебания цены. 3) арбитраж: использование разницы в ценах на различных рынках в блокчейне для получения прибыли.

Пользователи могут использовать инструменты по защите от MEV для отправки транзакций через специальный канал майнерам, чтобы избежать их публичного распространения в блокчейне. Или же сократить время публикации транзакции, то есть уменьшить время ее нахождения в мемпуле, использовать более высокую комиссию за газ для ускорения подтверждения транзакции, а также принимать меры, чтобы избежать проведения крупных сделок на одной DEX-платформе и снизить риск атаки.

Команда безопасности кошелька OKX Web3: Проскальзывание торгов - это разница между ожидаемой ценой сделки и фактической исполнительной ценой, которая обычно происходит в период значительной волатильности рынка или низкой ликвидности. Атака MEV означает, что злоумышленники получают сверхприбыль, используя асимметричную информацию и привилегии торговли. Вот некоторые распространенные меры защиты от этих двух сценариев:

1、Установите допустимый проскальзывание: из-за задержки в проведении сделок на цепочке и возможных атак MEV пользователи должны заранее установить разумный допустимый проскальзывание при совершении сделок, чтобы избежать неудачных сделок или потери средств из-за рыночных колебаний или атак MEV.

2、Частичная торговля: избегайте крупных сделок сразу, разбивайте их на части, чтобы снизить влияние на рыночные цены и уменьшить риск проскальзывания.

3, используйте торговые пары с высокой ликвидностью: при совершении сделок выбирайте торговые пары с достаточной ликвидностью, чтобы снизить возможность проскальзывания.

4. Используйте инструменты для предотвращения фронтраннинга: старайтесь избегать отправки важных транзакций через Memepool. Вы можете использовать специальные инструменты для предотвращения фронтраннинга и защиты транзакций от захвата роботами MEV.

Q 7: Может ли пользователь использовать инструменты мониторинга или профессиональные методы для регулярного мониторинга и обнаружения аномалий на счете в кошельке?

WTF Academy: Пользователи могут использовать различные инструменты мониторинга и профессиональные методы для периодического контроля и обнаружения аномальной активности в кошельковых счетах. Эти методы способствуют повышению безопасности счета, предотвращению несанкционированного доступа и потенциального мошенничества. Вот некоторые эффективные методы мониторинга и обнаружения:

1. Сервисы мониторинга сторонних лиц: на текущий момент многие платформы могут предоставлять пользователям подробные отчеты о деятельности кошелька и мгновенные оповещения.

2）使用安全插件：部分安全工具可以自动屏蔽掉部分钓鱼网站。

3. Встроенные функции кошелька: кошельки, такие как OKX Web3, могут автоматически обнаруживать и распознавать некоторые фишинговые веб-сайты и подозрительные контракты, предоставляя предупреждения пользователям.

OKX Команда безопасности кошелька Web3: В настоящее время многие компании или организации предоставляют большое количество инструментов для мониторинга и обнаружения адресов кошельков. Мы собрали некоторые из них на основе открытой информации в отрасли, например:

1、Блокчейн инструмент мониторинга: используйте аналитический инструмент блокчейна для мониторинга аномальных транзакций кошельков, изменения средств, настройки уведомлений о транзакциях по адресу.

2, Безопасный кошелек: Используйте профессиональные кошельки, такие как OKX Web3, чтобы поддерживать предварительное выполнение транзакций и своевременно обнаруживать подозрительные операции; также можно своевременно обнаруживать и блокировать взаимодействие с вредоносными веб-сайтами и контрактами.

3、система тревоги（ s）：может отправлять уведомления о транзакциях или изменениях баланса в соответствии с условиями, установленными пользователем, включая СМС, электронную почту или уведомления в приложении и т. д.

4、OKLink Токен авторизации запроса: проверить авторизацию кошелька для DApps, своевременно отозвать ненужные авторизации, чтобы предотвратить злоупотребление авторизацией злонамеренными контрактами.

Вопрос 8: как обеспечить безопасность конфиденциальности в блокчейне?

**WTF Academy：**Блокчейн открыт и прозрачен, что хоть и приносит много пользы, но также означает, что информация о пользовательских транзакциях и активах может быть злоупотреблена, и защита конфиденциальности в блокчейне становится все более важной. Однако пользователи могут защитить личную конфиденциальность, создав и используя несколько адресов. Не рекомендуется использовать отпечаток пальца браузера, поскольку ранее возникало много уязвимостей безопасности.

OKX Команда безопасности кошелька Web3: С увеличением числа пользователей все больше людей обращают внимание на защиту конфиденциальности. Существуют различные способы обеспечения безопасности и конфиденциальности, в том числе:

1、Управление множеством кошельков: разнообразие активов пользователей, Падение риска отслеживания или атаки одного кошелька.

2. Использование кошелька с несколькими подписями: требуется несколько подписей для выполнения транзакции, что повышает безопасность и защиту конфиденциальности.

3、Холодный кошелек: храните долгосрочные активы в аппаратном кошельке или оффлайн хранилище, чтобы предотвратить онлайн-атаки.

4、Не разглашайте адрес: избегайте делиться своим кошельком в социальных сетях или публичных платформах, чтобы избежать отслеживания другими.

5、используйте временный адрес электронной почты: при участии в аирдропе или других мероприятиях используйте временный адрес электронной почты, чтобы защитить свои личные данные от раскрытия.

Q 9: Если кошелек был взломан, как пользователю следует поступить? Были ли предприняты усилия или установлены механизмы для помощи восстановить украденные активы и защитить активы пользователей?

**WTF Academy：**Мы проводим обучение по рыболовным атакам и утечке закрытого ключа / мнемонической фразы.

首先, когда происходит фишинговая атака, активы, предоставленные пользователем хакеру, будут переведены на кошелек хакера, и эти средства практически невозможно вернуть; однако оставшиеся активы на кошельке пользователя относительно безопасны. Команда RescuETH рекомендует пользователям принять следующие меры:

1）Отозвать авторизацию на активы для Хакера

2）Свяжитесь с компанией по безопасности для отслеживания украденных активов и адресов хакеров.

Во-первых, когда происходит утечка закрытого ключа / мнемонической фразы, все ценные активы в кошельке пользователя будут переведены на кошелек хакера, их практически невозможно спасти / вернуть, но активы, которые в настоящее время невозможно перевести, могут быть спасены, такие как заблокированные стейкинг активы и нераспределенные воздушные капли, это также наш основной спасательный объект. Команда RescuETH рекомендует пользователям принять следующие меры:

1）Первым делом проверьте кошелек на наличие активов, которые не были переведены хакером, и если таковые имеются, немедленно переведите их на безопасный кошелек. Иногда хакеры могут упустить некоторые активы на малоизвестных цепочках.

2）Если в кошельке есть заблокированные активы застейканных средств и невыплаченные аирдропы, можно обратиться к профессиональной команде для помощи.

3. Если у вас есть подозрения, что установлен вредоносный софт, срочно просканируйте компьютер на наличие вирусов, удалите вредоносное ПО. При необходимости можно переустановить систему.

Текущими мы провели много попыток спасения активов похищенных пользователей.

Во-первых, мы - первая команда, спасающая активы похищенных кошельков в масштабах. На событии по воздушным каплям Arbitrum в марте 2023 года я собрал более 40 приватных ключей утечек из почти 20 фанатов и успел опередить хакера в борьбе за $ARB. В итоге успешно спасены токены ARB на сумму 40,000+ долларов, успешность составила 80%.

Во-вторых, когда кошелек пользователя взламывают, экономически ценные активы переводятся хакером, а NFT или ENS, не имеющие экономической ценности, но имеющие эмоциональную ценность для пользователя, остаются в кошельке. Однако из-за мониторинга кошелька хакером, весь полученный газ сразу же переводится, и пользователь не может переместить эту часть активов. Чтобы решить эту проблему, мы создали приложение для самостоятельного спасения - RescuETH App, которое основано на технологии Flashbots bundle MEV и позволяет упаковывать транзакции по получению газа и передаче NFT/ENS, чтобы предотвратить перевод газа через скрипт, используемый хакером, и успешно спасти активы. В настоящее время RescuETH App находится внутреннем тестировании и планируется начало публичного тестирования в июне.

Третье, в отношении части активов, которые могут быть спасены из похищенного кошелька пользователя (незаблокированный залог и нераспределенные воздушные капли), мы предлагаем платные настраиваемые услуги по спасению от белых шляп. В настоящее время наша команда белых шляп состоит из почти 20 экспертов по безопасности/MEV и уже спасла активы на сумму более 3 миллионов юаней из похищенных кошельков на цепях ETH, Solana, Cosmos и т. д.

OKX Команда безопасности кошелька Web3: Мы рассматриваем это с двух точек зрения: меры для пользователей и механизм безопасности кошелька Web3 OKX.

一、меры пользователя

Пользователю, обнаружившему кражу своего кошелька, рекомендуется немедленно принять следующие меры:

1. Меры реагирования на чрезвычайные ситуации

1. Немедленно переведите средства: если в кошельке еще есть средства, необходимо немедленно перевести их на безопасный новый адрес.

2）Отзыв разрешения: Немедленно отмените все разрешения через управляющий инструмент, чтобы предотвратить дальнейшие потери.

3）Отслеживание движения средств: своевременное отслеживание движения украденных средств, систематизация подробной информации о процессе кражи для обращения за внешней помощью.

2、сообщество и поддержка проекта

1. Запрос помощи у команды проекта и сообщества: сообщите о происшествии команде проекта и сообществу, иногда команда проекта может заблокировать или вернуть украденные активы. Например, USDC имеет механизм черного списка, который может блокировать перемещение средств.

2）Присоединиться к организации по безопасности блокчейна: присоединиться к соответствующей организации или группе по безопасности блокчейна, чтобы использовать коллективную силу для решения проблем.

3. Свяжитесь с службой поддержки кошелька: свяжитесь с командой поддержки клиентов кошелька, чтобы получить профессиональную помощь и руководство.

Второе, механизм безопасности кошелька OKX Web3.

OKX Кошелек Web3 высоко ценит безопасность активов пользователей и продолжает инвестировать в защиту активов пользователей, предоставляя множество механизмов безопасности для обеспечения безопасности цифровых активов пользователей.

1）Библиотека меток черных адресов: Кошелек Web3 OKX создал обширную библиотеку меток черных адресов, чтобы предотвратить взаимодействие пользователей с известными злонамеренными адресами. Эта библиотека постоянно обновляется, чтобы бороться с постоянно изменяющимися угрозами безопасности и обеспечивать безопасность активов пользователей.

2. Безопасный плагин: Кошелек Web3 OKX предлагает встроенную защиту от фишинга, которая помогает пользователям распознавать и блокировать потенциально вредоносные ссылки и запросы на транзакции, повышая безопасность пользовательского счета.

3. 24-часовая онлайн-поддержка: Кошелек OKX Web3 предоставляет клиентам круглосуточную онлайн-поддержку, чтобы оперативно реагировать на случаи кражи и мошенничества средств клиентов и обеспечить им быструю помощь и руководство.

4）пользовательское образование: OKX Кошелек Web3 регулярно публикует безопасные советы и образовательные материалы, помогая пользователям повысить осознание безопасности, понимать, как предотвращать общие риски безопасности и защищать свои активы.

Q1 0 ：Можно ли поделиться последними технологиями безопасности, например, можно ли использовать искусственный интеллект для усиления защиты?

**WTF Academy：**Безопасность в области блокчейна и Web3 является постоянно развивающейся областью, появляются различные передовые технологии и методы безопасности. В настоящее время популярны следующие:

1. аудит смарт-контрактов: с использованием искусственного интеллекта и машинного обучения автоматизированный аудит безопасности смарт-контрактов может выявлять уязвимости и потенциальные риски в смарт-контрактах, обеспечивая более быстрый и всесторонний анализ по сравнению с традиционным ручным аудитом.

2）аномальное обнаружение поведения: Использование алгоритмов машинного обучения для анализа транзакций в блокчейне и поведенческих шаблонов, обнаружение аномальной активности и потенциальных угроз безопасности. ИИ может распознавать типичные модели атак (например, атаки MEV, фишинговые атаки) и аномальное поведение в сделках, предоставляя оперативные предупреждения.

3）Мошенническое обнаружение: искусственный интеллект может анализировать историю торгов и поведение пользователей, выявлять и маркировать возможные мошеннические действия.

OKX Команда безопасности кошелька Web3: В настоящее время искусственный интеллект в области Web3 уже нашел применение во многих сферах. Вот некоторые сценарии использования искусственного интеллекта для усиления безопасности Web3:

Первое, обнаружение нештатных ситуаций и вторжений: с использованием искусственного интеллекта и моделей машинного обучения анализируются поведенческие шаблоны пользователей для обнаружения нештатных ситуаций. Например, можно использовать модели глубокого обучения для анализа торговой активности и активности кошелька с целью обнаружения потенциально вредоносной или нештатной активности.

Во-вторых, идентификация фишинговых сайтов: искусственный интеллект может анализировать содержимое веб-страниц и особенности ссылок, обнаруживать и блокировать фишинговые сайты, защищая пользователей от угрозы сетевых атак фишинга.

Третье, обнаружение вредоносного ПО: с помощью искусственного интеллекта можно анализировать поведение и характеристики файлов для обнаружения новых и неизвестных вредоносных программ и предотвращения загрузки и выполнения вредоносных программ пользователем.

Четвертая, автоматизированная реакция на угрозы: искусственный интеллект может автоматизировать принятие мер, например, автоматическую блокировку счета или выполнение других защитных действий при обнаружении аномальной активности.

В конце концов, благодарим вас за просмотр третьего номера раздела “Особый выпуск” кошелька OKX Web3. В настоящее время мы активно готовим контент для четвертого номера, который включит реальные случаи, определение рисков и полезные инструкции по безопасной работе. Оставайтесь на связи!

Отказ от ответственности

“Этот документ предоставляется только в информационных целях и не предлагает (i) инвестиционных советов или рекомендаций по инвестициям; (ii) предложений или призывов к покупке, продаже или обладанию цифровыми активами; или (iii) финансовых, бухгалтерских, юридических или налоговых советов. Обладание цифровыми активами (включая стабильные монеты и NFT) связано с высоким риском, они могут сильно колебаться и даже стать бесценными. Вы должны тщательно рассмотреть, подходят ли вам сделки или владение цифровыми активами, исходя из своего финансового положения. Пожалуйста, самостоятельно заботьтесь о понимании и соблюдении местных законов и правил.”