CAPT:謹防詐騙：Discord 私信釣魚手法分析_BCHA價格

By：Thinking@慢霧安全團隊

事件背景

5月16日凌晨，當我在尋找家人的時候，從項目官網的邀請鏈接加入了官方的?Discord?服務器。在我加入服務器后立刻就有一個"機器人"(Captcha.bot)發來私信要我進行人機驗證。這一切看起來相當的合理。我也點擊了這個驗證鏈接進行查看。

釣魚手法分析

我訪問"機器人"(Captcha.bot)發來的鏈接后，是有讓我進行人機驗證的，但是當我驗證通過后，發現它要求喚起我的小狐貍(MetaMask)錢包，喚起的錢包界面挺真實的，如下圖所示，但是我看到了錢包的地址欄顯示"about:blank"這引起了我的警惕，如果是插件喚起的就不會有這個"about:blank"的地址欄了。

烏克蘭要求當地加密貨幣企業提供財務信息:金色財經報道，烏克蘭國家銀行(NBU)要求四家當地加密貨幣公司Kuna、CoinPay、GEO Pay和Qmall提供2023年前兩個季度的財務報表。NBU要求加密貨幣企業在7天內提供財務報表。

根據一份文件，NBU還要求加密貨幣企業提供運營量數據以及資金接收和轉移信息。NBU還要求烏克蘭加密貨幣公司從2023年初開始為所有賬戶發布報表。[2023/8/1 16:11:53]

接下來我隨意輸入了密碼，并且通過審查元素查看，確定這個小狐貍(MetaMask)界面是由虛假網站"https://captcha.fm/"彈出的，并不是真實的錢包界面，于是我開始調試這個錢包。

歐盟消費者保護組織敦促各國政府調查人工智能:6月20日消息，歐盟消費者保護組織（BEUC）敦促監管機構對流行聊天機器人背后的人工智能（AI）模型進行調查。據美聯社周二報道，該組織就生成式人工智能的擔憂向歐盟消費者、數據保護、競爭和產品安全部門發出了警告。該組織表示，監管機構應該調查OpenAI的ChatGPT等系統背后的人工智能，以便在歐盟引入人工智能監管之前評估消費者面臨的風險和脆弱性。

除了歐盟的地方官員外，該組織還致信美國總統喬·拜登，對生成人工智能對消費者的潛在危害表示了類似的擔憂。他們呼吁采取行動，敦促各國領導人利用現有立法，并制定新的法律來解決人工智能問題。BEUC還引用了挪威消費者委員會的一份報告，該報告強調了人工智能聊天機器人的危險，包括虛假信息、數據收集和操縱等。[2023/6/20 21:50:18]

在隨意輸入密碼后，這個虛假的錢包界面進入到"SecurityCheck"界面，要求我輸入助記詞進行驗證。注意，輸入的密碼和和助記詞會被加密發送到惡意站點的服務端。

區塊鏈Lamina1為Web3建設者推出滾動基金:金色財經報道，由科幻作家Neal Stephenson和區塊鏈專家Peter Vessenes為重點的第一層區塊鏈Lamina1正在推出Lamina1生態系統基金（L1EF），為Web3建設者提供一個為元宇宙企業籌集資金的工具，并為投資者提供在基層參與項目的機會。

L1EF已經在AngelList上推出，這是一個風險平臺，允許初創企業從天使投資者那里籌集資金。該平臺提供滾動基金，允許感興趣的投資者通過季度訂閱來資助項目。L1EF提供的認購起價為每季度2500美元，最低期限為四個季度。（coindesk）[2022/12/22 22:00:18]

通過分析域名可以發現，這惡意域名captcha.fm解析到了172.67.184.152和104.21.59.223，但是都是托管在cloudflare上，只能是反手一個舉報了。

AAC PASS加密星球今日上線USDT質押功能:據官方消息，AAC PASS加密星球今日上線USDT質押功能，用戶可選擇質押主鏈代幣AAC或USDT獲得行星族、衛星族、流星族。

USDT質押功能的上線使用戶擁有了更多選擇，讓用戶獲得AAC PASS更加便捷，有利于AAC PASS加密星球的生態繁榮。[2022/10/26 11:44:51]

分析惡意賬號

下載保存好惡意站點的源碼后，我將情報發給了項目方團隊，并開始分析這次釣魚攻擊的賬號。由于我剛加入家人群，就收到了下面的這個地址發來的驗證消息。經過分析，這個賬號是一個偽裝成Captcha.bot機器人的普通賬號，當我加入到官方服務器后，這個假Captcha.bot機器人立刻從官方服務器私發我假的人機驗證鏈接，從而引導我輸入錢包密碼和助記詞。

我在相關頻道里面搜索了Captcha.bot，發現有好幾個假Captcha.bot，于是將這幾個賬號也一并同步給了項目方團隊，項目方團隊很給力，也很及時地進行了處理，把這幾個假Captcha.bot刪除了，并一起討論了可能的防范方式。

再次收到釣魚鏈接

事情還沒結束，第二天早上又一位慢霧的小伙伴加入到官方Discord服務器中，再次收到惡意賬戶發來的私信，里面包含著一個釣魚鏈接，不同的是，這次的釣魚者直接偽裝成官方的賬戶發送私信。

這次釣魚者講的故事是在鏈接中導入助記詞進行身份驗證，然而不是采用假小狐貍(MetaMask)的界面來欺騙用戶，而是直接在頁面上引導用戶輸入助記詞了，這個釣魚手法就沒這么真。

釣魚網站的域名和?IP?是app.importvalidator.org47.250.129.219，用的是阿里云的服務，同樣反手一個舉報。

釣魚防范方式

各種釣魚手法和事件層出不窮，用戶要學會自己識別各種釣魚手法避免被騙，項目方也要加強對用戶安全意識的教育。

用戶在加入Discord后要在隱私功能中禁止服務器中的用戶進行私聊。同時用戶也需要提高自己的安全意識，學會識別偽裝MetaMask的攻擊手法，網頁喚起MetaMask請求進行簽名的時候要識別簽名的內容，如果不能識別簽名是否是惡意的就拒絕網頁的請求。在參與Web3項目的時候無論何時何地都不要在網頁上導入私鑰/助記詞。盡可能地使用硬件錢包，由于硬件錢包一般不能直接導出助記詞或私鑰，所以可以提高助記詞私鑰被盜門檻。

項目方團隊也要時刻關注社區用戶的反饋，及時在社區Discord服務器中刪除惡意賬戶，并在用戶剛加入Discord服務器時進行防釣魚的安全教育。

Discord隱私設置和安全配置參考鏈接：

https://discord.com/safety/360043857751-Four-steps-to-a-super-safe-account

https://support.discord.com/hc/en-us/articles/217916488-Blocking-Privacy-Settings-

Tags：CHACAPCAPTAPTBCHA價格xEarn CapitalCaptainCaptain Inu

中幣交易所