码农亲述:如何在24小时之内从Slack盗走价值十几万美元的以太币

图0:码农亲述:如何在24小时之内从Slack盗走价值十几万美元的以太币

Slack创立的初衷是作为组织中团队的协作辅助。在团队的概念中,信任构建算是最基础的前提。

因此,这就导致Slack自带“诈骗属性”。

有大量的加密货币项目都用Slack进行沟通。以太坊参照其众售模式推出了ICO(Initial Coin Offering)的概念,在项目完成之前通过发行代币来募集资金。

回报率高达96,560%,以太坊众售对于那些坚定的持有者来说应该是相当OK了。

如果你不太了解加密货币,你可能会认为以太坊的高回报率只是个例。为了让你更加了解FOMO现象为什么发生,这里列出了几个项目的回报率排名。

图1:码农亲述:如何在24小时之内从Slack盗走价值十几万美元的以太币

这么高的回报率是前所未有的,更不用说受众是普通人了。这就让他们愿意去相信那些不可思议的事。即以下所有特点的结合体:

– 不受监管
– 不能索偿
– 直接的通道
– FOMO
– 破天荒的高回报
– 以及骗子的天堂

攻击方法1——私信

如果有未读的私信,Slack会给用户发邮件并进行告知。因此骗子就开始直接给用户发私信。这种方式能够躲过防邮件诈骗的筛选,因为发送给用户的邮件都直接来自no-reply@slack.com。

图2:码农亲述:如何在24小时之内从Slack盗走价值十几万美元的以太币

在ICO进行过程中,有大量的信息都是通过一系列公开渠道进行沟通的。一些官方声明就成为了骗子骗人的真实模板。

我想要百分百的回报……说起来好像谁不想要似的?

区块链的透明性能够让我们查到被骗的具体金额。

etherscan.io能方便查询区块链中特定地址的交易。我们可以看到参与骗局的下列地址涉及106笔交易,余额还有102,680.35美元。

图3:码农亲述:如何在24小时之内从Slack盗走价值十几万美元的以太币

一条来自安全团队的警告:

图4:码农亲述:如何在24小时之内从Slack盗走价值十几万美元的以太币

除了更改了My Ether Wallet URL之外,其他的信息看起来很合理……

这里提供的网址是myethwallet.eu,而不是www.myetherwallet.com。

另外,通过谷歌搜索邮件发送方信息还可以知道Golem项目的CTO并不是Pedro。

图5:码农亲述:如何在24小时之内从Slack盗走价值十几万美元的以太币

这条私信的可信度是很难辨认的,因为我们并不熟悉钱包细节。

要想杜绝这类骗局,项目方可以直接把骗子踢出Slack群组。这样就能删除骗子发过的所有私信。

攻击方法2——Slackbot任务

骗子可以通过Slackbot为每位用户设置任务。就算骗子被移出Slack群组也不能删除任务。最终Slackbot还是能够发送私信。

图6:码农亲述:如何在24小时之内从Slack盗走价值十几万美元的以太币

这在大型群组中是行得通的,就算参与者离开了也还是需要完成任务。在公开的群组中,要想清理骗子造成的烂摊子是很难的。

攻击方法3——谷歌广告

交易渠道存在很多FUD(恐惧、不确定和怀疑)。抛开各种谣言不谈,这的确是ICO支付的最佳方式。直接点击Slack上面的链接不是什么好主意,所以就谷歌对吗?假如我听很多人都提起Red Pulse和Kyber(最近很火的ICO),而我又想了解更多信息,然后我去谷歌搜索了一下:

图7:码农亲述:如何在24小时之内从Slack盗走价值十几万美元的以太币

点击排名最靠前的广告你就进入了这个网站。

图8:码农亲述:如何在24小时之内从Slack盗走价值十几万美元的以太币

同样排名靠前的广告会引导你进入一个非常相似的网站。

图9:码农亲述:如何在24小时之内从Slack盗走价值十几万美元的以太币

山寨其他网站实在太容易了,因此很难辨认一个网站的真实性。在上述例子中,提示注册流程已关闭的网站才是真实的官方网站(即第二张图)。

总结

如果你选择进入加密货币领域并且使用这些社区沟通渠道,你必须记住,一些听起来好到令人难以置信的条件一般都是骗局。一定要选择官方渠道核实所有信息。

永远心存怀疑。

官方通道也可能被攻击。Enigma项目的ICO账户就曾遭到攻击,最终造成了50万美元的损失。

不要相信任何人。

余下全文(1/3)
分享这篇文章:

请关注我们:

发表回复

您的电子邮箱地址不会被公开。 必填项已用*标注