2023 年 4 月 18 日，推特上一位名为「撸毛校长」的区块链 KOL，发布了一篇名为「名牌空投，一鱼两吃，zks 精品单号回报预计 5000 刀」的空投教程。然而，这篇教程中提到的 Orbiter 跨链桥网站实际上是一个钓鱼网站。若用户按照教程指示，直接点击钓鱼链接进行项目交互，他们的 ETH 将直接被转移到骗子的钱包地址。目前该 KOL 已经删除个人账户且通过该骗局已经获得超过 30 ETH 的非法 链上协议激励。
这起「撸毛校长」事件揭示了一个新的、更隐蔽的钓鱼欺诈手法。在传统的钓鱼欺诈场景中，恶意链接通常会伪装成合法网址，并通过搜索引擎、邮件或社交媒体进行传播。对这类手法，大多数用户通常能够辨识并避免。然而，在这个最新的案例中，钓鱼网站链接被「巧妙地」嵌入到了空投教程中，这种新颖而隐秘的欺诈手法，甚至有可能使那些对区块链行业和「指哪打哪」操作较为熟悉的用户也陷入其中。这再次强调了我们必须始终保持警惕，对任何可能的威胁都不能掉以轻心。
那么我们应该如何避开此类事件呢？
- 不要随意点击搜索引擎的广告链接以及不明网站，建议收藏常用网址，防止被钓鱼网站欺诈。
- 不要轻易相信网络上发布的各种空投教程及其提供的链接，与不知名合约进行交互后，应立即取消相关授权。
- 在投资之前进行充分调研，并根据自身实力和风险承受能力进行理性的投资决策。
imToken 一直在行动
安全提醒｜警惕 eth_sign 盲签骗局
近期，eth_sign 签名钓鱼骗局猖獗，骗子通过搜索引擎、邮件或社交媒体进行传播钓鱼网站，以 WalletConnect 等形式诱导用户进行 eth_sign 签名，由于签名者并不知道自己正在签署什么内容，因此存在被钓鱼的潜在风险。一旦签名完成，骗子就可以无限制地窃取你的代币。那么这些诈骗到底是如何发生的呢？点击查看安全提醒｜警惕 eth_sign 盲签骗局。
针对此类诈骗行为，imToken 新版本进行了风控系统升级。在用户访问第三方 DApp 调用 eth_sign 进行消息签名时， imToken 将提供风险警告弹窗，提示用户当前访问的网站可能存在潜在风险，并启动 15 秒的冷却倒计时。这样的设置旨在给用户足够的时间来评估签名操作的必要性和安全性。
安全风控
四月份，imToken 共标记风险代币 489 个；封禁风险 DApp 网站 362 个；标记风险地址 21657 个。
详见风控数据。
另外，如果你发现了疑似风险的代币或者 DApp，请及时反馈给我们：support@token.im，帮助更多用户避免代币损失。
最后
空投吸引了许多新用户接触并参与到区块链行业，但同时也为钓鱼骗局等非法犯罪活动创造了机会。这些骗局不仅给用户带来了损失，也对整个行业造成了巨大的伤害。因此，我们希望能够持续做一件事——用时间和坚持来抹平宣传渠道的局限性。
imToken 一直以来都非常关注用户的代币安全，并持续更新钱包安全月报。如果你在钱包安全方面有任何案例或素材，我们非常欢迎你发送到 support@token.im ，与我们一起构建一个更安全的钱包社区。
让我们共同努力，保护用户的代币安全，为整个区块链行业的发展贡献力量。