加密牛市不仅为投资者带来造富效应，对于骇客而言也是丰收季节，近期链新闻脸书专页的贴文，就有诈骗留言大幅增加的现象。资安机构慢雾特别整理各种不同的钓鱼手法及诈骗过程，希望加密参与者能更好地防范资安问题。
Drainer-as-a-Service (DaaS) 是什么？
慢雾创办人余弦指出，DaaS 可以理解为针对加密产业的钓鱼工具，知名工具包括：
- MS
-
Pink
-
Angel
-
Pussy
-
Venom
-
Medusa
-
Monkey
-
Inferno
作恶者花钱买了上述 Drainers 工具，并结合成千上万钓鱼网站、行销帐号、各类骗术、漏洞利用、渗透、垃圾广告等，如洪水猛兽冲般涌进加密产业。
加密常见钓鱼手法
余弦列出多种钓鱼工具背后的机制：
-
原生签名利用：eth_sign、personal_sign、eth_signTypedData_* 等，eth_sign 已被众多钱包封阻。
-
授权函数利用：Token/NFT 中的 approve/permit
-
TX data 4byte 利用：Claim Rewards/Security Update
-
授权签名：用 Create2 预创建资金接收地址，绕过相关检测
-
比特币铭文一键批量钓鱼，UTXO 机制
-
各 EVM 链/Solana/Tron 等切换钓鱼
钓鱼路径、诈骗入局手段
余弦强调「钓鱼」是个广泛概念，手法虽多但基本大同小异，而尽管这些手段已相当泛滥，仍不时有用户受骗，他呼吁大家势必要更为谨慎。
钓鱼路径包括：
-
Google/X 等广告投毒、X 评论或私信投毒。
-
骇入官方帐号 (X、Discord、Telegram 等) 发布钓鱼连结。
-
BGP/DNS 等劫持方式，在官网植入恶意代码。
-
隐蔽的陷阱合约 (貔貅盘、套利陷阱等)。
-
伪造事件/零转账等障眼法。
-
硬体钱包售卖渠道被中间人动手脚。
-
诱骗用户直接「上供」自己的助记词。
- 伪装记者、资方、专案方等，诱骗用户下载中毒文件。
余弦最后提到了 ZeroTransfer 诈骗手法，即刻意生成与与用户头尾相同的地址、发送小额交易，等待用户下次误认此地址并进行转帐。
币安本身此前也曾遇过类似事件。
