TP官方网站:TP钱包带你捉“鬼”)
李鬼,出自古典名著《水浒传》第四十三回,冒用“江湖上有名目,提起好汉大名,神鬼也怕”的黑旋风李逵名号,拦路抢劫,索要李逵买路钱。后遇到李逵,被杀。
01
故事起因
Voice应该是近期EOS用户最关注的一个重磅的应用了,虽然Beta版本并不能对美国以外的人群开放,但是在你关注Voice的时候有人就开始惦记你的资产了,这不事儿就来了。。2月13日的晚上距离Beta开始还有一段时间,突然有个朋友跟我说,Voice发Token了你知道吗?我说什么(一脸懵)!?因为我明明记得我们发的快讯里面说的很清楚:用户在测试期间收到了Voice代币是不可转让的,之后会进行重置,不过会有额外奖励。再说了Token还是发行在了测试网上。。。所以我决定来看下这个发行账号有何猫腻。02
整理线索
先看下合约地址:eosvoicebeta,使用了合约创建账号方式(增强匿名性);账号格式工整的有点不像话,感觉国外人不能这么“起名”。继续看eospark浏览器中的账号编辑栏(下图),还是非常工整,还配了一个Voice的图标,挺“用心”的。在简介里面看到了一个网址,https://eos-voice.io,怎么跟印象中的不一样呢,要知道Voice购买域名可是花费了3000w美元,那么就打开看下吧:
(假李鬼)
熟悉的配色、熟悉的预览图、熟悉的底部通知,那么有没有发现有什么不同呢?我们来看下https://www.voice.com 真李逵的网站长啥样:(真李逵)
看上去就好像是两个时态(旧版和新版)不同的官网,那我们再看下两个域名的服务器所在地吧:(假李鬼)
(真李逵)
“李鬼”的地址也是用了“心”的,直接用了美国 德克萨斯 达拉斯(让我想到了达拉斯小牛,不过已改名)服务器,具体是哪个运营商就不多查询了。“李鬼”的网址右上角上很显眼位置看到了一个Claim VOICE的入口,而真品网站上是没有的,我们来对比下:(真假对比)
正版网站中有专门针对Beta用户提供的登陆入口,另一个就是申请测试版的入口,我们知道平时遇到的Claim命令都是执行如Airgrab糖果的抓取等,但是当你遇到恶意的代码时,你执行的就是很有可能是自己授权把钱包控制权主动交给了对方(既完成了权限的修改)。03
突发事件
就在这个时间,出事儿了。。。。最先是在开发者社区看到有人提示要警惕这个Voice代币所对应的链接,通过Claim执行恶意命令,会丢失钱包控制权,而且已经有人中招了!
(发现李鬼)
没过多久,我们的客服也遇到了另一位用户反馈了同样的问题:
(惨遭中招)
ps:出于使用习惯与安全原因,桌面版钱包默认将权限变更加入防火墙(需密码解除),在未解除防火墙功能的情况下,都无法执行权限变更操作,对账号的安全有一个很好的保障。04
深入“虎穴”
那么我们就来实际执行一下,会会这个恶意代码,防止让更多的人深受其害。为了防止EOS账号私钥被修改,我特地设置了多签账号(多签名账号,需要多人授权权重≥阈值方可执行),目的就是为了能比较深入了完成一次完整的Claim操作。下面看具体操作:1、准备多签账号,防止恶意权限执行成功。(准备多签账号)
2、打开“李鬼”网站并执行Claim,比较尴尬的是,我准备的账号白费了,因为账号没EOS资产(没资产就没有兑换代币的权利)。更换一个有资产账号后发现DApp浏览器打开后无法点击执行Claim命令(这个也是好事儿,最起码使用移动端操作的用户不会入坑),可能是还没有“优化”好的样子。(无资产无获取权限)
3、既然移动端测试的方式走不通,那么就直接通过上面被坑的账号看下链上信息发生了什么吧。05
经验总结
经过测试发现,这是一个非常聪明的“钓鱼网站”,你持有的EOS越多就可以得到越多的假的voice代币(没钱都不带你玩儿),在你Claim的时候就把账号归为己有,而且还非常“贴心”帮你抵押资源来完成权限变更的操作。唯一值得庆幸的是该代币没有被钱包收录(意味着看不到代币显示在资产列表中)、自带的DApp浏览器不能执行Claim;当然了,即使可以执行,TP钱包自带恶意代码防火墙功能,遇到获取高级权限的时候会有明显的提示,以警示用户进行排查。在这里提示广大用户,不要随意执行不明来源的代码,保护自己的资产安全,备份好私钥并妥善保管,避免悲剧发生。
(恶意代码防火墙)
![](https://gxkst.cn/zb_users/upload/2023/07/20230730070101169067166167842.png)
更多TokenPocket信息
公众号:TokenPocket钱包
Telegram:https://t.me/tokenPocket_en
Twitter:https://twitter.com/TokenPocket_TP
Medium:https://medium.com/@tokenpocket.gm
Facebook:www.facebook.com/TokenPocket/
Github:https://github.com/TP-Lab
Email :service@tokenpocket.pro