区块链技术是当前时代最重要的创新之一，使得去中心化真正成为可能，任何人都对自己的链上资产享有绝对的控制权，外界无法进行任何干涉与操作。
这种权利相伴的则是责任，这意味着用户需要对自己的资产安全负100%的责任，在私钥保存、日常操作方面都需要格外注意，一旦私钥或者助记词失窃，所有资产都会面临被盗风险。尽管许多项目方理论上能通过智能合约控制链上资产并找回被盗资产，但通常只会在黑客故意攻击并造成大量损失时才会给予帮助，个人失误造成的资产损失很难得到项目方的援助。
可以预见，未来越来越多的交易活动将向链上转移，但不巧的是，链上局如今仍在大量出现，并衍生出许多新形式，多名读者曾向链捕手反映遭遇链上并损失数万元，但都已经无法挽回。为了帮助更多加密行业初入门者了解一些行业常识，避免踩坑，链捕手在本文中总结了一些常见的局手法，具体如下：
作者|谷昱
一、假币局
案例：小茗关注的项目正在进行IDO，在电报群看到有人发布了代币智能合约地址，小茗将改地址在Uniswap输入后发现已经可以交易，并且有价值大几十万元的流动性，随即购买了1个ETH，但此后上涨1倍多并准备卖出时发现，系统提示无法卖出，相当于归零。
Belt.fi将于5月21日跨链上线HECO，同步开启流动性挖矿和单币无损挖矿:5月18日，BSC头部AMM协议Belt.fi宣布将于5月21日正式跨链上线HECO链，同步开启流动性挖矿和单币无损挖矿，届时将会支持4Belt LP（USDT+HUSD+USDC+DAI）、HT/BELT LP流动性挖矿，以及HT、USDT、HUSD、USDC、DAI、BTC和ETH单币无损挖矿，并打通BELT在HECO与BSC的跨链互通。
Belt.fi是BSC头部AMM协议，该协议在Binance Smart Chain（BSC）上融合了多策略收益优化功能，并提供低收手续费/低滑点，还通过机池组合，借贷聚合产生收益来实现最大回报。
HECO是一个去中心化高效节能的公链，在支持高性能交易的基础上，实现了智能合约的兼容性，HECO的原生数字资产为HT，兼容以太坊EVM（Ethereum Virtual Machine），采用HPoS共识机制。[2021/5/18 22:16:02]
分析：这种情况属于假币局，某些集团会批量发行币种并以关注度高的币种为名字，并建立Uniswap交易池、注入一定流动性，意图误导用户为真币，然后在一些社交媒体渠道传播智能合约地址。
链上ChainUP张姨：安全和流动性是交易所的两大命门:7月20日晚，在牛市财经X阿波罗交易所举办的《登陆月球日》的活动上，来自链上ChainUP的张姨表示：在交易所运营过程中，安全和流动性是交易所最重要的因素，也是最核心的命门。自交易所诞生以来，接连发生的安全事件无不昭示一点：交易所的资金和系统安全得以保障，才是能够持久运营的基础，建议交易所前期选择和有资质、有实力的技术服务商进行合作。
链上ChainUP旗下的链上云，提供的不仅仅是一套交易系统，更是整合了其运营过程中所需的流动性和风控策略，底层技术WaaS联盟以及衍生品等为一体的系统服务。通过硬核的技术手段为交易所提供更多优质的服务，同时链上流动性平台还聚合了整个市场的流动性，给客户提供高质量的流动性水平。此外还可以通过公开的接口为第三方交易所提供主流币对、平台币对、交叉币对的流动性解决方案，并提供对应风控管理。[2020/7/21]
但这种代币的智能合约代码中实际上已经规定只允许发行方出售代币，其他用户只能买入不能出售，而用户如果在社交媒体看到地址并信以为真，在买入其代币后就只能坐视其上涨并最终归零。
动态 | 比特币链上活跃度有所回升，交易所充提指标回落:据Tokenview链上数据监测，近24小时比特币链上转账总额为79.56万BTC，链上转账笔数为32.85万笔，较前日分别上升16.59%和13.43%。其中充值到交易所的比特币金额为9802 BTC，从交易所提现的金额为8050 BTC，充提指标回落至七日均线以下。链上活跃度指标在周一通常有所回升，交易所充提回归至七日均线以下，或有利于市场短线调整后的企稳蓄力。在挖矿数据方面，比特币近七日算力均值为110.41 EH/s，近24小时算力均值为110.31 EH/s。昨日全网出块总数为141个，较前日减少1个；链上转账手续费为22.92 BTC。[2020/2/25]
据链捕手观察，大部分Uniswap上的假币都是由一个特定集团发行，每个代币发行方地址都能通过转账记录相关联，最近2个月至少发行了70余种假币，获利至少在4000ETH以上。
在具体手法方面，他们还会向被标记为币安、V神与0x-b1的地址转入部分假币，以吸引这些地址关注者的注意；每次发行活动周期大概3-5天，先在Uniswap添加上百个ETH的流动性，待很少有购买用户后撤出全部流动性，然后将所有ETH转入新地址重新发行新币，不定期还会通过Tornado.cash转移资金。
动态 | 阿里巴巴链上公益计划首例区块链自动拨付成功完成:12月17日，阿里巴巴链上公益计划的第一笔自动拨付在新未来高中生项目中获得成功。据悉，基于自动拨付体系，基金会在系统中导入受益人名单由财务复核后，受益学生通过支付宝刷脸确认身份，在线签名即可完成领用，系统将自动调取存在区块链上的智能合约，直接将款项发放至受益人账户，无需中间多轮流转。相关信息同时记录在区块链上，不可篡改。[2019/12/19]
更具误导性的是，这些集团还会制造某些巨鲸在购买这些币种的假象。如下图所示，该地址被广泛认为由孙宇晨所有，拥有数十亿美元的资产，而在十余天Etherscan显示其地址从Uniswap购买了数种新币。
某些巨鲸地址跟踪者看到这些记录可能就会「跟单」，但如果点开其具体交易记录，可见交易行为并非由该地址所有人发起，而是假币发行方地址利用智能合约直接从Uniswap购买并将孙宇晨地址设为收币地址所致。
行情 | 国庆期间比特币链上活跃度有所下降:据Tokenview数据显示，国庆假期期间（2019.10.1-10.7）比特币链上指标除算力外均有一定程度下降，七日日均活跃地址数为650415，环比下降6.38%；新增地址数为338118，环比下降4.09%。链上交易笔数为298339?笔，环比下降6.37%，七日算力均值为94.41 EH/s，环比上涨3.83%。[2019/10/8]
除了孙宇晨地址以外，Etherscan显示的许多ETH大户地址都有类似情况发生。
因此，大家在Uniswap进行交易时务必要使用官方公布的合约地址，或者Uniswap推荐列表中的币种，在其它渠道看到的智能合约地址要保持警惕，否则很可能会造成大量损失。
二、假APP局
案例1：小倪换了新手机，看到某个微信群有显示为imtoken工作人员的用户发布了一张快讯图片，还附有APP下载链接，正好新手机还没有下载imtoken，随即扫码下载其APP，输入私钥并导入钱包，但很快发现其地址的所有资产被转出，损失近2万元。
案例2：据《华盛顿邮报》报道，本月初有两名用户在苹果应用商店搜索加密硬件钱包Treznor的名字时，出现了一款APP使用了与真Treznor极其相似的标志和颜色，尽管当时Treznor并未推出手机端APP，但他们误以为Treznor的确推出了手机版，故而下载并导入私钥，最终分别失窃17.1枚比特币和价值1.4万美元的ETH。
分析：私钥与助记词意味着对钱包资产的绝对控制权，因此很多局都在设法套取用户私钥，假冒官方APP则是其中最常见的手法，这种假APP或伪造为官方快讯诱导用户下载，或为搜索引擎付费将假冒网站排名置前，或在苹果/安卓官方应用商店上线重名的假APP，它们会高度模仿官方网站与图片信息，一旦用户下载APP并导入助记词，钱包资产立即会被转走。
因此，大家在下载钱包、交易所类APP时，切记要从官方渠道下载，并检查网站域名等信息是否正确。
三、假客服局
案例：小詹在使用某DApp产品时遇到了问题，于是到电报群尝试询问官方人员，随后有名用户私聊他询问情况，并告诉他可以私聊一名官方人员解决问题并发送账户名给小詹，于是小詹直接点击账户名进入私聊界面。
这名官方人员很热情地询问小詹遇到了什么情况，表示这是由于项目数据库问题并正在解决，但为了避免错误继续发生，需要对账户进行重置并询问小詹使用什么钱包，随后给出链接并让小詹输入助记词导入钱包以便进一步操作，但小詹此刻出于警惕性未进行下一步操作，避免了助记词泄露。
分析：如今微信、电报等各大社群几乎都存在伪装为官方客服的账户，通过各种方式取用户信任，尽可能将话题引向钱包并诱导用户输入助记词或者私钥，而一旦用户输入，所有资产很快会被转走。
因此，大家在各类社群寻求帮助时，务必要确认对方身份，不确定身份时可以截图发在群里请其他活跃用户帮忙辨认，通常官方工作人员都会不主动私聊用户并让用户输入私钥，而是在群聊中让用户主动私聊。
四、空投局
案例：小曦在微信群看到有人发布某知名项目空投信息，只要在在电报群完成几个特定社交媒体任务，即可获得上百美元的代币奖励，小曦按照电报机器人的提示全部完成，但之后机器人提示需要先发送少量代币到合约地址才能领取空投代币，考虑到成本不高，小曦按照要求打币但之后并没有收到空投代币，反而白白损失十余美元。
分析：基于社交媒体任务的的代币空投的确大量存在，因而容易降低用户的警惕性，但也正是如此，很多子都会利用用户的松懈心理实施局，利用空投来诱导用户向智能合约打币，尽管单笔金额通常不大，但聚少成多仍然相当可观。
目前，还没有任何真实空投活动需要用户向外部钱包地址打币才能领取，大家对于需要转币的空投活动应当直接无视。
五、几点注意事项
除了前述故意实施的局需要防范，链上操作仍然还面临许多由潜在的操作失误造成的安全风险，主要有以下几点：
第一，避免向DApp过度授权，定期清理授权。用户在与某个DApp首次交互时需要进行授权，但其中会存在隐患，如果该DApp此后遭遇攻击，将可以直接利用其权限盗取用户资产，因此大家需要定期清理不常用的DApp权限或者设置代币转移量上限。
第二，尽可能避免使用未经安全公司审计代码的DApp，特别是还声称具有高APY的DApp，其安全风险可能会导致本金的巨大损失。
第三，需要再次强调，注意保存地址私钥与助记词，最好保存在不联网的硬件或者笔记本上，不向任何第三方透露私钥与助记词，这是所有安全措施中最重要的一点。
区块链技术所衍生的巨大想象空间，以及更大规模的应用，都依赖于更多用户拥有更高的链上操作素养与知识，而不至于使链上成为局横生的法外之地，让大量用户无端遭遇巨大损失，因此前述科普与教育的意义也就格外凸显。
原文链接:https://www.chaincatcher.com/article/2061241
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。