钓鱼攻击

加密货币给钓鱼者带来的收益高于信用卡欺诈，因为没有拒付机制，也没有可以联系的发卡机构。FBI 2023年的加密货币欺诈报告统计了超过69,000起投诉，损失超过56亿美元，另有一家硬件钱包厂商泄露的客户档案，使272,853个家庭收货地址作为攻击目标清单流入流通领域。任何索要您十二个或二十四个助记词的行为都是盗窃，没有例外。

运作方式

针对比特币持有者的钓鱼攻击有四种形式，所需的防范措施各不相同。

凭证钓鱼把交易所的登录页面复制到一个相似的域名上，通常通过搜索广告、伪造的“检测到异常登录”邮件或输错的网址进入。现代版本是实时中继：您输入的一切，包括验证器应用的验证码，都会在几秒内转发到真实网站，因此六位数验证码正确并不能证明什么。只有硬件安全密钥能抵御这种攻击，因为密钥会对其实际连接的域名进行签名，对于相似域名则根本不会生成任何可用的内容。

助记词钓鱼绕过账户，直接针对钱包。它以“钱包验证”表单、伪造的固件更新、需要“同步您的设备”的客服人员，或声称您的资金面临风险的浏览器弹窗等形式出现。助记词就是钱包：BIP39 把这十二个或二十四个词转换为您将持有的所有私钥，因此任何读到它们的人都可以在自己的设备上重建您的整个钱包，并随意将其清空。任何厂商、交易所或客服团队都没有任何正当理由查看助记词，永远没有。

签名钓鱼要求您批准一项您无法读懂的内容。这主要是以太坊上的问题，一次签名就可能授予某个代币无限的支出权限，但比特币用户在被要求签署陌生的部分签名交易或任意消息时，也会遇到类似的情形。

冒充客服与社会工程融为一体：在 X 或 Telegram 上，一个带有正确徽标的账户会在您公开发布问题后几分钟内回复。真正的客服绝不会主动联系您。

购买比特币时为何重要

真正能阻止钓鱼攻击的防范措施是您一次性做好的配置选择，而不是需要永远保持的警惕。

每次都以同一种方式访问您的交易所。把域名加入书签，只使用该书签，绝不使用搜索结果，也绝不点击邮件中的链接。本站各评测页面列出了本站收录的24家交易所各自的官方网站，让您多一个核对网址的地方。

为账户配置硬件安全密钥。Kraken 和 Coinbase 都支持 FIDO2 密钥，这是实时中继攻击无法转发的唯一验证因素。如果无法使用密钥，验证器应用仍然优于短信验证码。

开启提币地址白名单，这样被盗用的会话就无法指定新的收款地址。

把助记词视为只写一次的信息。在设置过程中把它们记录在纸或金属上，绝不要输入手机、电脑、照片、密码管理器或任何表单。硬件钱包只会在设置或恢复期间在其自身屏幕上要求输入助记词，其他任何时候都不会。如果有任何软件索要助记词，无论徽标看起来多么可信，该软件都是恶意的。

最后，对任何附带时限的信息都要放慢节奏。紧迫感是所有钓鱼信息共有的唯一要素，因为有时间查看地址栏的人就不再是受害者了。

Ledger 客户名单：数年后仍被利用

2020年7月，Ledger 披露其电子商务和营销数据库遭到入侵，约一百万个电子邮件地址以及一小部分详细的客户记录因此暴露。

2020年12月，完整的数据被公开发布：272,853条订单记录，包含购买过硬件钱包的人的姓名、电话号码和实际收货地址。这是一份已知持有加密货币的家庭清单，并附有他们的居住地址。

后续发生的事情正是本页提及此事件的原因。此后数年，受害者陆续收到伪装成 Ledger 安全通知的钓鱼邮件和短信。2021年，一些人收到了装有伪造 Ledger 设备的包裹，附有一张便条，声称出于安全原因更换原设备，并指示他们把现有的助记词输入新硬件。还有人收到了提及其家庭住址的勒索信息。

这一教训不止适用于一家公司。从厂商营销系统中获取的数据足以让钓鱼攻击变得有针对性且可信，而且这些数据不会过期。请假定您购买比特币硬件或服务的公司迟早会泄露您的信息，并建立这样一套配置：即使泄露发生，也只是令人尴尬，而不是代价高昂。

钓鱼攻击 vs 社会工程

钓鱼攻击是更广泛的社会工程实践中的一种技术。社会工程指任何说服人违背自身利益行事的攻击；钓鱼攻击是其批量生产的、基于消息的版本，发送给成千上万人，期望其中一部分人会回应。在选择防范措施时，这一区别很重要。钓鱼攻击在很大程度上可以通过技术解决，因为无论您是否留意，安全密钥、书签和白名单都有效。范围更广的社会工程，尤其是针对您量身定制的实时电话，则需要程序性规则：绝不要因为对方主动联系您而转移资金。

钓鱼攻击 vs 杀猪盘

钓鱼攻击想在接下来的六十秒内得到一份凭证；杀猪盘想在接下来的六个月里经营一段关系。钓鱼信息冒充您已在使用的服务，旨在让您在思考之前立即行动。杀猪盘则通过数周的日常交谈建立信任，随后推出一个显示虚假盈利的投资平台，并允许提前提现以证明其有效。后者造成的损失通常要大得多，因为受害者是自愿的、反复的，并且用自己四处筹措的资金来出资。