前言
今年以來，imToken 收到了不少用戶回饋錢包地址遭遇了「地址釣魚」攻擊。 即騙子會採取各種套路誘導我們主動向其轉帳。 讓我們一起來看看騙子都是用的都是哪些套路，一起來拆穿這些騙局吧~
「地址釣魚」常見套路
鏈上轉帳釣魚
「地址釣魚」除了 imToken 在早前揭露過「相同尾號地址騙局」，即利用相同尾號地址向用戶地址進行小額轉賬，騷擾轉賬記錄誘導錯轉。 近期 imToken 安全團隊發現騙子加大了成本投入。 如下圖，騙子投入了 3 USDT 來進行釣魚攻擊，最終得手。
imToken 安全團隊提醒：
- 轉帳時請勿直接複製歷史記錄中的地址
- 輸入收款方的地址後，請仔細檢查每個字符，確保地址完全正確
剪切板釣魚
小明碰到一件怪事，自己轉帳成功了，但朋友那頭卻遲遲沒有到賬。 跟朋友一起仔細檢查後才發現收款地址根本不是朋友的地址，只是尾號相同。 讓小明覺得奇怪的是這個地址明明是朋友剛剛透過聊天軟體發送過來的，按道理來說是不會有問題的，小明百思不得其解，於是聯繫上了 imToken 工作人員。
imToken 安全團隊溝通時，小明提到和朋友聊天的Telegram 是在百度上隨便找到安裝包下載的，原來小明使用的是假冒聊天應用，手機的剪切板被這個應用入侵，騙子獲取了剪切板 的讀取、寫入權限。 用戶複製的內容都會被騙子獲取，也能修改剪切板的內容。
當複製錢包地址時，騙子會把用戶地址替換成自己的錢包地址，並結合「尾號相同策略」更進一步提高釣魚成功率。
比如，複製的是地址
- TRNvRJT2zvdRHzgvM2Rnrtr3ANaT8b2XEQ
貼出來的卻是
- TY7976avKs8EbdsqFMbNButNEwDcQp2XEQ
imToken 安全團隊提醒：
- 請務必認準官方頻道下載，不要安裝來歷不明的應用程式
- 做好裝置的應用程式權限管理，取消授予應用程式不必要的權限（在手機裝置的應用程式管理設定中進行設定）
- 轉帳時務必檢查收款地址、轉帳數量等重要訊息
私下兌換釣魚
騙子常以「便宜出售」或「高價購買」數位代幣的誘惑詞來引誘你進行私下兌換。
舉個栗子，小明在 Telegram 上被小騙搭訕，2000 美金收購 ETH，有急用！ 小明心想現在 ETH 價格才 1600 美金，這是個不錯的賺錢機會，於是聯繫上小騙表示可以出售 ETH，並提供了自己在兌換所的 USDT 充值地址。
- TRNvRJT2zvdRHzgvM2Rnrtr3ANaT8b2XEQ
小騙先給小明這個地址轉帳了一筆小額的 USDT，以確保這個地址是正確的。
在騙取到小明的信任後，小騙將 2000 USDT 轉帳截圖證明提供給小明，緊接著催促小明盡快把 ETH 轉給他。 雖然小明遲遲在兌換所沒有看到USDT 到賬，但小騙提供了轉賬截圖，小明也透過Tronscan 查詢到「自己的地址」的確有2000 U 的轉入記錄，便誤認為資金已到賬， 只是兌換所沒有及時上帳。
結果小騙拿到 ETH 後當即斷聯失踪，留下小明一人在風中凌亂。
為什麼小明透過 Tronscan 查詢到「自己的地址」已經有 2000 U 轉入記錄卻還是沒有收到這筆代幣呢?
原來，小騙轉第一筆小額 USDT 時，騙子一共操作了 2 筆小額 USDT 轉帳。
- 一筆真正地給小明轉賬：TRNvRJT2zvdRHzgvM2Rnrtr3ANaT8b2XEQ
- 這筆轉帳會被兌換所收到並上帳
- 另外一筆是給自己的地址轉賬：TY7976avKs8EbdsqFMbNButNEwDcQp2XEQ
- 這筆轉帳是騙子自己的地址，以相同尾號來蒙蔽小明
騙子後續轉帳的2000 USDT 雖是真實發生的，但卻是從騙子他的左口袋轉入了右口袋，並沒有轉入小明的地址，而小明在跟小騙兌換時因沒有仔細核對信息，誤 以為這筆代幣是進入了自己的錢包地址。
imToken 安全團隊提醒：
- 不要與陌生人私下兌換數位代幣，最好在幣安、OKX 等知名平台兌換
- 隨時保持警惕，任何問題都可以在 imToken App 內打開“我”-“幫助與反饋”諮詢我們
imToken 一直在行動
安全風控
八月份，imToken 共標記風險代幣 7144 個；封鎖風險 DApp 網站 1395 個；標記風險地址 447 個。 詳見風控資料。
另外，如果你發現了疑似風險的代幣或 DApp，請及時回饋給我們：support@token.im，幫助更多用戶避免代幣損失。
最後
詐騙手法層出不窮，對一般用戶來說，確實難以全面預防。 imToken 致力於快速發現和找到解決方案，並向社群及時回饋和科普各種新型騙局，以降低用戶損失。
我們誠摯邀請你閱讀並分享「imToken 錢包安全月報」，和 imToken 攜手，保護每一份代幣安全。
imToken 官方下載鏈接：https://token.im/download