区块链资产安全防范指南

导读： 作为管理加密资产的核心工具的数字钱包, 其安全性与用户资产安全有着直接关联, 近期市场上出现大量会仿冒imToken钱包的恶意应用...

作为管理加密资产的核心工具的数字钱包, 其安全性与用户资产安全有着直接关联, 近期市场上出现大量会仿冒imToken钱包的恶意应用, 这些假钱包借助钓鱼网站、应用商店伪装、社交渠道诱导等方式来传播, 一旦用户导入私钥或者助记词, 资产就会在数秒内被转移, 识别假钱包并且掌握正确防范方法, 已然成为每一位数字资产持有者的必修课。

假钱包是如何窃取用户资产的

模拟真实imToken钱包的假钱包, 往往有着高度相仿真的界面, 就算是同步真实钱包的那种转账记录以及余额显示, 皆是可以做到的, 所以用户最初的时候, 是很难察觉到异常情况的。这些怀有恶意的应用, 其核心目的就只有一个, 那便是骗取用户的助记词或者私钥。当用户于假钱包里面去创建或者导入钱包时, 所输入的信息, 会径直被发送至攻击者操控的服务器。有一部分假钱包, 在用户进行转账操作时, 还会对收款地址加以篡改, 致使用户把资产转至黑客的账户之中。

就技术层面而言, 假钱包常常借由非官方途径进行传播, 比如说, 借助在搜索引擎购置关键词广告, 于社交平台张贴“官方客服”链接, 或者在第三方应用商店上架名字相近的应用。倘若用户在下载之前未曾核查开发主体名称、应用签名以及下载量等关键信息, 那么极容易掉入陷阱。一旦安装并授予权限,假钱包还会频繁弹出“安全更新”“网络切换”等提示, 以此诱导用户再三去输入密码或者私钥。

辨别真假钱包的关键方法

要判断imToken钱包是不是真的, 最可靠的办法是去确认下载的渠道。官方的imToken钱包, 仅仅是通过官网（imtoken.com）, 还有App Store、Google Play这些主流应用商店来发布的。用户应该直接去访问官网, 从而获取下载链接, 要避免去使用搜索引擎结果里的广告推广, 或者陌生人发送来的安装包。等安装好了之后, 可以在应用里面查看“关于”的信息, 正版的imToken会清楚地列出开发团队以及版本更新日志。

关于另一个重要辨别点, 那便是功能完整性, 假钱包常常会缺失一些虽不常用但属于官方标配的功能模块, 像多链管理里的小众网络支持、DApp 浏览器内部某些协议的正常加载等情况, 用户能够试着去访问一个已知的官方合作 DApp, 要是页面加载不正常或者提示“网络错误”, 那就必须要高度谨慎, 另外, 正版钱包绝对不会在用户没有主动进行操作的情形下要求输入私钥, 任何弹出“安全验证”要求输入助记词的举动全都是危险的信号, 并不能忽视。

资产保护的基础操作

最基础且最重要的安全习惯是, 绝对不向任何网页透露助记词和私钥, 绝对不向任何应用透露助记词和私钥, 绝对不向任何客服透露助记词和私钥。imToken官方团队不会索要助记词和私钥, 不会索取助记词和私钥, 因为不会以任何理由索取助记词和私钥。用户应离线保存助记词, 比如使用防火保险柜保存助记词, 比如分散记录在纸质媒介上保存助记词, 并且远离电子设备, 远离网络环境。备份时建议至少保留两份物理副本, 至少保留两份物理副本用于分散存放, 至少保留两份物理副本分散存放于不同地点。

设置较为强大的密码, 并且开启全部能够使用的安全验证选项, 这同样是很关键的。对于那些支持生物识别的设备而言, 应当启用指纹或者面部解锁功能。密码最好是不要去使用生日这种, 以及连续数字之类容易被猜测出来的内容, 而且不同的平台要使用不一样的密码。要定期去检查钱包授权列表, 对于新接入的DApp合约要保持谨慎的态度, 对于那些不再使用的应用要及时取消授权。