标签： 钓鱼

钓鱼攻击是一种常见的网络欺诈方式，指不法分子利用各种手段，仿冒真实网站的URL地址以及页面内容，以此来骗取用户的账号、密码、验证码、钱包私钥等私人资料，或者诱导用户授权钱包，进而盗取用户资产。

我们总结了一些钓鱼网站的常见“鱼饵”，当你看到有人借这些理由，引导你打开某个不明链接时，就要小心了：

1、以欧易“平台迁移”、“账户升级”、“清退用户”、“切换IP线程”、“修改账户归属地”等为由，引导用户进入“欧易安全中心”。

2、以“持币挖矿”、“充值返利”、“开启xx币种空投”等高收益活动为由，引导用户进入“某某官网”。

那么，我们要如何防范钓鱼网站呢？

• 认准官方网站：欧易并未设置“安全中心”，如遇相关链接切勿点击，更不要在虚假“安全中心”输入验证码等账号信息。欧易平台活动及业务变更请以官网公告为准，请您注意辨别，谨防受骗。认准欧易官方网站： www.okx.com
• 官方验证：若遇到自称“官方人员”的电话／短信邮箱／网址／微信等，可以在 APP 首页点击【客服】一【官方渠道验证】，或网页端【欧易官方渠道验证页面】进行验证，进行验证。IM聊天中，请认准蓝色官方标识，如遇自称官方人员却没有官方标识的，请勿轻易相信。
• 勿点击不明链接：欧易不会向您发送含有链接的短信，更不会在短信中引导您进行充提、转账、登录不明网站等操作，切勿点击／扫描非官方渠道发送的不明链接／二维码／文件，更不要在不安全网站输入您的账号密码、手机/邮件/谷歌验证码等，以防资产被骗子窃取。
• 发现异常及时止损：若有用户发现自己不小心进入了钓鱼网站，请迅速联系平台客服进行解决（APP路径为：首页左上角头像-帮助中心-与智能客服对话）。 如发现自己被骗，务必及时止损，保存和骗子的聊天记录以及在诈骗平台的交易记录，第一时间联系警方处理。
• 设置防钓鱼码：您可以在APP【个人中心】-【安全设置】页面设置防钓鱼码，设置成功后，欧易给您发送的邮件内容中将包含您设置的防钓鱼码，您可以据此有效过滤钓鱼网站发送的虚假活动邮件。
• 鉴别钓鱼网站：DNS域名系统确保了域名的唯一性，在域名为真的情况下，用户几乎不可能打开虚假网站。因此您可以通过以下方式鉴别钓鱼网站：

一、什么是钓鱼攻击？

钓鱼攻击是一种常见的网络诈骗方式，指不法分子利用各种手段，仿冒真实网站的URL地址以及页面内容，以此来骗取用户账号、密码等私人信息，进而骗取用户资产。

钓鱼攻击的迷惑性很强，就连周杰伦也中过钓鱼网站的圈套。2022年4月1日，周杰伦在社交媒体发文称，他持有的无聊猿BAYC#3738 NFT遭遇了钓鱼攻击，损失金额超过300万。那么，投资者应该如何防范此类诈骗呢？本文将总结几种常见的钓鱼攻击套路，并作出安全提示，请各位用户提高防范意识，保护资金安全。

钓鱼攻击方式主要有邮件攻击、域欺骗：

• 邮件攻击：攻击者向目标用户发送具有诱惑性或误导性邮件，邮件往往携带钓鱼网站链接或者木马程序下载链接等，如果用户不注意辨识就会点击链接进入钓鱼网站或下载木马程序，木马程序一旦运行，则可监视用户键盘输入的敏感信息并实现盗取。
• 域欺骗：攻击者利用用户计算机漏洞，通过恶意代码修改用户计算机中存储的关于DNS信息的文件，将用户要访问的网站地址替换成钓鱼网站地址。用户在浏览器中输入合法的网站地址后就被重定向成钓鱼网站地址，若在这个过程中，用户未察觉，则攻击成功。

二、常见钓鱼网络攻击套路

• 在加密领域常见的网络钓鱼攻击中，骗子可能会假冒平台工作人员，创建钓鱼网站并发布虚假信息，通过短信、邮件等方式，谎称“账户升级”、“迁移”、“清退”、“触发风控”、“资金存在风险”、“成为国际用户”等，诱导用户点击钓鱼网站链接或扫描二维码。而一旦账号密码或短信/邮箱/谷歌验证码等信息泄露，用户账户内的数字资产将被快速窃取。

• 此外在加密钱包方面，骗子同样会以官方名义散布钓鱼网站信息，用户一旦点击进入并进行导入私钥、钱包授权等风险行为，或在在无意中开启了资产转出等权限，私钥和资产即会陷入风险中。甚至骗子会冒充官方人员，直接以空投、安全隐患、密码泄露、提交问题反馈等各种名义，要求用户提供助记词或私钥，用户提交助记词后，很快钱包内的资产就被盗取。

三、如何防范钓鱼攻击？

（1）不点击不明链接和登录不安全网站，以免账号密码泄露，避免造成不必要的损失。

（2）知晓账户安全信息验证及保护的方法，例如：账户登录名和密码与其他网站不要一致，私钥、助记词等信息不要本地保存。

（3）欧易平台活动及业务变更请以官网公告为准。不要通过谷歌，百度搜索引擎搜索网址登录，建议手动输入网址登录，认准欧易官方网站： www.okx.com

（4） 欧易设有防钓鱼码功能，您可以在“个人中心-安全中心-防钓鱼码设置”，设置防钓鱼码后，欧易给您发送的邮件会包含您设置的防钓鱼码，如果邮件中没有防钓鱼码，即为伪造、诈骗邮件。

（5）甄别钓鱼网站：DNS域名系统确保了域名的唯一性，在域名为真的情况下，用户几乎不可能打开虚假网站。因此您可以通过以下方式鉴别钓鱼网站：

（6）您若遇到所谓“官方人员”的电话／邮箱／网址／微信等，您可以在 APP 左上角进入个人中心，点击【帮助中心】一【官方渠道验证】进行验证。欧易APP内置的IM聊天页面已上线蓝色官方标识，如遇自称官方人员却无“官方”后缀的，请勿轻易相信。

（7）请通过官方渠道下载或使用钱包应用，在使用期间注意钱包使用的安全事项：请勿联网保存或传输私钥、助记词等信息，不要向任何人泄露安全信息，不要将私钥导入未知的第三方网站，不要下载与使用第三方提供的未知来源钱包应用。此外，需要谨防假冒加密钱包，使用正规且主流的加密钱包产品，并保持良好的加密钱包使用习惯，警惕任何空投代币或NFT和任何陌生私聊。

近期有不法分子在推特、Telegram、微信、IM等渠道私聊用户骗取钱包助记词，或引导用户在恶意站点授权钱包，造成资产损失。由于数字资产的匿名性及去中心化，被盗的钱包内资产往往难以追回，请广大用户提高警惕，谨防被骗。

诈骗套路1：发送钓鱼链接

骗子在社交平台发布虚假空投或高收益活动链接，诱导用户参与，用户在参与过程中向恶意站点泄漏了钱包私钥。还有骗子假冒钱包等官方平台，以合约地址需要修改或钱包需要重新验证等名义，向用户发送钓鱼邮件，引导用户在恶意站点授权钱包，用户无意中开启了资产转出等权限，导致钱包内资产被盗。

安全提示

1、不要将私钥导入未知的第三方网站。

2、不要下载与使用第三方提供的未知来源钱包应用。

3、钱包在进行站点授权时，一定要查验是否是正规网页。

4、请定期检查钱包是否授权过陌生站点，及时取消授权。

5、认准欧易官方网站：[www.okx.com](https://www.okx.com/ “www.okx.com”)

诈骗套路2：私聊骗取助记词

骗子冒充官方人员，以空投、安全隐患、密码泄露、提交问题反馈等各种名义，要求用户提供助记词或私钥，或进行转账。例如，有用户在使用钱包时出现闪退情况，在Telegram群内反映了自己的问题后，一位自称是管理员的人与他单独联系，称需要提交钱包助记词解决问题，用户提交助记词后，发现资产被盗。

安全提示

1、不要向他人泄露密码、私钥、助记词、 Keystore文件，请尽可能采用物理介质备份（例如抄在纸上），不使用微信、QQ、邮件传输私钥，不要截屏或拍照保存私钥。

2、警惕Discord、Telegram等社交平台上的陌生私聊。如遇到自称“欧易官方”的电话/邮箱/网址/微信等，您可以在欧易APP首页点击【客服】-【官方渠道验证】进行验证，或者联系官方客服咨询；欧易APP内置的IM聊天页面已上线蓝色官方标识，如遇自称官方人员却无“官方”后缀的，请勿轻易相信。

3、欧易官方及工作人员不会以任何形式向您索要助记词、私钥等信息，不会要求您进行任何形式的私下转账。

近期有不法分子在推特、Telegram、微信、IM等渠道发布投资诱导信息，引导用户在钓鱼站点授权钱包，造成用户资产损失。本文将针对这一诈骗模式展开介绍。

一、攻击流程

1. 犯罪团伙搭建高仿钓鱼平台。
2. 通过Telegram/Discord等各类社区群聊，鼓吹高额返利回报诱导用户。
3. 编写/录制完整的访问流程，设置较低理解/参与门槛，指导用户如何创建钱包、访问页面/项目。
4. 包装项目，提高可信度。具体方式有很多，例如依托欧易平台，让其钓鱼项目可以通过欧易平台途径（如DAPP浏览器）访问，增加用户的信任。
5. 诱导用户访问钓鱼平台，用户在连接钱包和授权时，其钱包私钥、签名、助记词等信息将会被钓鱼平台上传，犯罪团伙在后台可以获取到用户相关信息，就相当于掌控了用户钱包的所有权。
6. 犯罪团伙通过获取到的钱包信息进行盗币等操作，造成用户资金损失。

还有一种情况是，犯罪分子诱骗目标用户到钓鱼平台连接钱包，完成签名，但用户实际上不知道自己到底签名的内容是什么，黑客拿到签名后的内容，构造利用数据，完成利用。

二、实例

如下图所示，骗子在Telegram建群或私聊，引导用户到未知平台授权钱包。遇到这种情况，千万不要轻易相信，不要进入对方推荐的平台，更不要连接钱包、授权钱包！

三、安全提示

1、不要将私钥导入未知的第三方网站。

2、不要下载与使用第三方提供的未知来源钱包应用。

3、钱包在进行站点授权时，一定要查验是否是正规网页。

4、请定期检查钱包是否授权过陌生站点，及时取消授权。

Q：如何查看Dapp授权情况？

A：打开欧易官方App，切换至【Web3钱包】，点击【授权】，查看Dapp授权历史，也可点击取消授权。

5、您在第三方DApp上的使用行为将使用该DApp的《用户协议》和《隐私政策》，由该DApp直接并单独向您承担责任，与欧易Web3钱包无关，请确保DApp安全且可靠，在使用时注意风险，避免造成资产损失！

由于数字资产的匿名性及去中心化，钱包内的被盗资产往往难以追回，请广大用户提高警惕，谨防被骗。