2023 年 5 月，市面上出現了一種新的硬體錢包供應鏈攻擊現象：騙子篡改了硬體錢包 Trezor 的固件，然後將這些篡改後的設備出售給不知情的用戶。這些被篡改的設備存在助記詞安全隱患，比如騙子預先在設備中生成了多套助記詞等，尤其在俄羅斯已有多起類似事件被發現，這些被篡改過的設備在未經授權的市場平台上被銷售。
如果用戶在收到硬體錢包後沒有進行檢查，直接進行創建錢包並使用的話，騙子就能夠通過已知的助記詞輕易竊取用戶的加密代幣。
這起「硬體錢包供應鏈攻擊」事件揭示了一種新型的盜幣形式，遠比我們熟知的因助記詞私鑰保管方式不當導致的盜幣更加隱蔽，對那些不了解硬體錢包工作機制的用戶構成了重大威脅。這再次強調了我們必須保持警惕，對所有可能的威脅都不能掉以輕心。
那麼我們應該如何避開此類事件呢？
- 從官方渠道購買：始終從官方渠道或官方認證的經銷商處購買硬體錢包。這可以確保你收到的設備是官方製作的、未被篡改的。
- 檢查包裝：許多硬體錢包製造商會在其產品包裝上使用防篡改標籤或封條。如果你收到的設備包裝已被打開或損壞，或者防篡改標籤已被撕掉或破損，那麼這可能是一個警告信號。
imToken 一直在行動
安全提醒 | 警惕 TRON（TRX）錢包未知授權記錄
近期，騙子使用假代幣在 TRON（TRX）錢包中創建未知的授權記錄。我們收到了一些用戶反饋，他們在日常查詢 TRON（TRX）錢包的授權記錄時，發現了這些未經他們本人授權的 USDT 記錄，這些記錄無法被取消。儘管這些假代幣的授權記錄在錢包中存在，但是騙子無法通過這個授權從用戶的錢包中轉走任何有價值的代幣，因此它不會對用戶的真實代幣造成任何影響。關於這個騙局詳情，你可以點擊這裡查看。
imToken 安全團隊提醒你：請時刻保持警惕並定期檢查你的錢包授權記錄，關注錢包中出現的任何陌生授權記錄。在發現異常授權記錄時，務必仔細核查，並採取相應的防範措施。如對授權記錄有任何疑問，可以發送郵件至 support@token.im 聯繫 imToken 官方客服團隊。
安全提醒｜警惕錢包權限更改兌換
近期，TRX 錢包權限更改詐騙越來越活躍。騙子通過誘導用戶在虛擬物品購買網站中支付（比如購買電報帳號、短信接碼等），實際上用戶是在簽名一筆 TRX 錢包權限更改的兌換，一旦簽名成功，用戶的 TRX 錢包權限就會被篡改，導致用戶失去錢包的控制權。
為防止此類詐騙，你需要對所有第三方支付鏈接保持警惕。若鏈接來源不明或對其真實性有疑問，可發郵件至 support@token.im 聯繫 imToken 官方客服。請記住，權限更改是一種重要操作，可能導致你失去錢包控制權，因此請不要在沒有充分理解的情況下輕易簽名。
為保護用戶代幣安全，imToken 新版本對此進行了應對。若用戶點擊可能涉及到權限更改的鏈接，imToken 會直接提示該行為可能存在風險，禁止用戶進行操作。這種設置可以防止用戶上當受騙，確保用戶代幣安全。
安全風控
五月份，imToken 共標記風險代幣 578 個；封禁風險 DApp 網站 445 個；標記風險地址 1688 個。詳見風控數據。
另外，如果你發現了疑似風險的代幣或者 DApp，請及時反饋給我們：support@token.im，幫助更多用戶避免代幣損失。
最後
為了保護你的代幣安全，尤其是面對近期出現的硬體錢包供應鏈攻擊，以及錢包權限更改兌換等安全威脅，我們強烈建議你提高安全意識並採取謹慎行動。
imToken 一直以來都非常關注用戶的代幣安全，並持續更新錢包安全月報，為用戶提供安全知識並揭露新型騙局。如果你在錢包安全方面有任何案例或素材，我們非常歡迎你發送到 support@token.im ，與我們一起構建一個更安全的錢包社區。
讓我們共同努力，保護用戶的代幣安全，為整個區塊鏈行業的發展貢獻力量。