當(dāng)前位置：主頁 > 區(qū)塊鏈 > 錢包知識 > Web3避坑指南

Web3 安全入門避坑指南（錢包被惡意多簽風(fēng)險分析）

2025-02-10 13:34:51 | 來源： | 作者：佚名

本期我們將以 TRON 錢包為例，講解多簽釣魚的相關(guān)知識，包括多簽機制、黑客的常規(guī)操作及如何避免錢包被惡意多簽等內(nèi)容

背景

在上一期 Web3 安全入門避坑指南中，我們主要講解下載/購買錢包時的風(fēng)險，找到真官網(wǎng)和驗證錢包真?zhèn)蔚姆椒?，以及私鑰/助記詞的泄露風(fēng)險。我們常說 “Not your keys, not your coins”，但也存在即使你有私鑰/助記詞，也無法控制自己資產(chǎn)的情況，即錢包被惡意多簽了。結(jié)合我們收集到的 MistTrack 被盜表單，一些用戶的錢包被惡意多簽后，不明白為什么自己錢包賬戶里還有余額，卻無法把資金轉(zhuǎn)出。因此，本期我們將以 TRON 錢包為例，講解多簽釣魚的相關(guān)知識，包括多簽機制、黑客的常規(guī)操作及如何避免錢包被惡意多簽等內(nèi)容。

多簽機制

我們先簡單解釋下什么是多簽，多簽機制的本意是為了使得錢包更安全，允許多個用戶共同管理和控制同一個數(shù)字資產(chǎn)錢包的訪問和使用權(quán)限。盡管部分管理者丟失或泄露了私鑰/助記詞，錢包里的資產(chǎn)也不一定會受損。

TRON 的多重簽名權(quán)限系統(tǒng)設(shè)計了三種不同的權(quán)限：Owner、Witness 和 Active，每種權(quán)限都有特定的功能和用途。

Owner 權(quán)限

擁有執(zhí)行所有合約和操作的最高權(quán)限；
只有擁有該權(quán)限才能修改其他權(quán)限，包括添加或移除其他簽名者；
創(chuàng)建新賬戶后，默認為賬戶本體擁有該權(quán)限。

Witness 權(quán)限

這個權(quán)限主要與超級代表(Super Representatives) 相關(guān)，擁有該權(quán)限的賬戶能夠參與超級代表的選舉和投票，管理與超級代表相關(guān)的操作。

Active 權(quán)限

用于日常操作，例如轉(zhuǎn)賬和調(diào)用智能合約。這個權(quán)限可以由 Owner 權(quán)限設(shè)定和修改，常用于分配給需要執(zhí)行特定任務(wù)的賬戶，它是若干授權(quán)操作（比如 TRX 轉(zhuǎn)賬、質(zhì)押資產(chǎn)）的一個集合。

上文中提到，新建賬戶時，該賬戶的地址會默認擁有 Owner 權(quán)限（最高權(quán)限），可以調(diào)整賬戶的權(quán)限結(jié)構(gòu)，選擇將該賬戶的權(quán)限授權(quán)給哪些地址，規(guī)定這些地址所占權(quán)重的大小，以及設(shè)置閾值。閾值是指需要簽名方權(quán)重到達多少才能執(zhí)行特定操作。在下圖中，閾值設(shè)置為 2，3 個被授權(quán)地址的權(quán)重都為 1，那么在執(zhí)行特定操作時，只要有 2 個簽名方的確認，這個操作就可以生效。

(https://support.tronscan.org/hc/article_attachments/29939335264665)

惡意多簽的過程

黑客獲取用戶私鑰/助記詞后，如果用戶沒有使用多簽機制（即該錢包賬戶僅由用戶一人控制），黑客便可以將 Owner/Active 權(quán)限也授權(quán)給自己的地址或者將用戶的 Owner/Active 權(quán)限轉(zhuǎn)移給自己，黑客的這兩種操作通常都被大家稱為惡意多簽，但其實這是一個廣義的說法，實際上，可以根據(jù)用戶是否還擁有 Owner/Active 權(quán)限來區(qū)分：

利用多簽機制

下圖中，用戶的 Owner/Active 權(quán)限未被移除，黑客給自己的地址授權(quán)了 Owner/Active 權(quán)限，此時賬戶由用戶和黑客共同控制（閾值為 2），用戶地址和黑客地址的權(quán)重都為 1。用戶雖然持有私鑰/助記詞，也有 Owner/Active 權(quán)限，但無法轉(zhuǎn)移自己的資產(chǎn)，因為用戶發(fā)起轉(zhuǎn)出資產(chǎn)請求時，需要用戶和黑客的地址都簽名，這個操作才能正常執(zhí)行。

雖然被多簽的賬戶執(zhí)行轉(zhuǎn)出資產(chǎn)的操作需要多方簽名的確認才可以實現(xiàn)，但是向錢包賬戶入賬是不需要多方簽名的。如果用戶沒有定期檢查賬戶權(quán)限情況的習(xí)慣或者近期沒有轉(zhuǎn)出操作的話，一般不會發(fā)現(xiàn)自己錢包賬戶的授權(quán)被更改，那么便持續(xù)受損。如果錢包內(nèi)的資產(chǎn)不多，黑客可能會放長線釣大魚，等待該賬戶積累了一定數(shù)字資產(chǎn)后，再一次性盜取所有數(shù)字資產(chǎn)。

利用TRON的權(quán)限管理設(shè)計機制

還有一種情況是黑客利用 TRON 的權(quán)限管理設(shè)計機制，直接將用戶的 Owner/Active 權(quán)限轉(zhuǎn)移給黑客地址（閾值仍為 1），使得用戶失去 Owner/Active 權(quán)限，連“投票權(quán)”都沒有了。需注意，此處黑客并不是利用多簽機制使得用戶無法轉(zhuǎn)移資產(chǎn)，但大家習(xí)慣上稱這種情況也為錢包被惡意多簽。

以上兩種情況造成的結(jié)果是一樣的，無論用戶是否還擁有 Owner/Active 權(quán)限，都失去了對該賬戶的實際控制權(quán)，黑客地址獲得了賬戶的最高權(quán)限，可實現(xiàn)更改賬戶權(quán)限、轉(zhuǎn)移資產(chǎn)等操作。

惡意多簽的途徑

結(jié)合 MistTrack 收集到的被盜表單，我們總結(jié)出了幾種錢包被惡意多簽的常見原因，希望用戶遇到以下幾種情況時，提高警惕：

1. 在下載錢包時，未能找到正確的途徑，點擊了電報、推特、網(wǎng)友發(fā)送的假官網(wǎng)鏈接，下載到假錢包，結(jié)果私鑰/助記詞泄露，錢包被惡意多簽。

2. 用戶在一些出售加油卡、禮品卡、VPN 服務(wù)的釣魚充值網(wǎng)站輸入了私鑰/助記詞，結(jié)果失去自己錢包賬戶的控制權(quán)。

3. OTC 交易時，被有心之人拍到私鑰/助記詞或以某手段獲取賬戶的授權(quán)，隨后錢包被惡意多簽，資產(chǎn)受損。

4. 一些騙子把私鑰/助記詞提供給你，稱他無法提取錢包賬戶里的資產(chǎn)，如果你能幫忙的話可以給你酬勞。雖然這個私鑰/助記詞對應(yīng)的錢包地址確實存在資金，但無論你給多少手續(xù)費、手速多快都提不走，因為提幣權(quán)限被騙子配置給了另一個地址。

5. 還有一種較為少見的情況是用戶在 TRON 上點擊了釣魚鏈接，簽名了惡意的數(shù)據(jù)，隨后錢包被惡意多簽。

總結(jié)

在本期指南中，我們主要以 TRON 錢包為例，講解了多簽機制、黑客實施惡意多簽的過程和套路，希望幫助大家加深對多簽機制的理解和提高防范錢包被惡意多簽的能力。當(dāng)然，除了被惡意多簽的情形之外，還存在一些比較特別的案例，有的新手用戶可能因操作不慎或缺乏了解，誤將錢包設(shè)置成了多簽，導(dǎo)致需要多個簽名才能進行轉(zhuǎn)賬。此時，用戶僅需滿足多簽要求或在權(quán)限管理處將 Owner/Active 權(quán)限只授權(quán)給一個地址，恢復(fù)單簽即可。

最后，慢霧安全團隊建議廣大用戶定期檢查賬戶權(quán)限，查看是否有異常；從官方途徑下載錢包，我們在Web3 安全入門避坑指南｜假錢包與私鑰助記詞泄露風(fēng)險里講過如何找到正確的官網(wǎng)和驗證錢包的真?zhèn)?；不點擊不明鏈接，更不輕易輸入私鑰/助記詞；安裝殺毒軟件（如卡巴斯基、AVG 等）和釣魚風(fēng)險阻斷插件（如 Scam Sniffer），提高設(shè)備安全性。

免責(zé)聲明：本文只為提供市場訊息，所有內(nèi)容及觀點僅供參考，不構(gòu)成投資建議，不代表本站觀點和立場。投資者應(yīng)自行決策與交易，對投資者交易形成的直接或間接損失，作者及本站將不承擔(dān)任何責(zé)任。！

Tag：Web3 避坑指南多簽

你可能感興趣的文章

幣圈快訊

美國得克薩斯州數(shù)據(jù)中心將使用英偉達芯片
2026-07-28 12:11
7月28日，據(jù)英國金融時報：英偉達參與了美國得克薩斯州數(shù)據(jù)中心價值500億美元的租賃協(xié)議，該中心將使用英偉達芯片。
美國大型企業(yè)重啟招聘AI取代崗位的預(yù)期正在逆轉(zhuǎn)
2026-07-28 12:11
據(jù)華爾街日報，在凍結(jié)招聘約一年后，美國多家大型企業(yè)開始重新增招人手，從鐵路巨頭CSX到谷歌母公司Alphabet近期均向投資者表示計劃招聘，以支撐增長目標或抓住新興技術(shù)機會。過去約一年半，大型雇主普遍縮減白領(lǐng)崗位，一方面出于經(jīng)濟不確定性，另一方面基于減少人手能帶來更快增長以及AI可承擔(dān)更多工作的判斷，如今部分高管表示AI的成本與局限反而要求增加人手。報道稱，政府承包商BoozAllen首席運營官KristineMartinAnderson表示公司需要加快招聘，該公司去年在聯(lián)邦合約收縮背景下裁減數(shù)千個崗位，截至6月30日總?cè)藬?shù)約3.09萬，同比下降7.5%。人力資源平臺Lattice的CEOSarahFranklin表示，不少企業(yè)曾因預(yù)期AI智能體接管工作而停招初級崗位，如今意識到有了編程智能體也仍要招工程師，當(dāng)前正重新招聘大量初級崗位。同期美國裁員放緩，最近一周初請失業(yè)金人數(shù)降至1969年以來的最低水平。
Binance閃兌將于8月2日進行系統(tǒng)定期維護預(yù)計一小時內(nèi)完成
2026-07-28 12:03
7月28日，據(jù)官方公告，Binance閃兌將于2026年08月02日07:30（東八區(qū)時間）進行系統(tǒng)定期維護。維護期間，用戶將無法下達新的閃兌訂單和限價訂單，現(xiàn)有定投訂單可能會因系統(tǒng)升級而被跳過。本次維護預(yù)計將在一小時內(nèi)完成。
以太坊現(xiàn)貨ETF昨日總凈流入923萬美元貝萊德ETHA凈流入1175萬美元居首
2026-07-28 12:02
根據(jù)SoSoValue數(shù)據(jù)，美東時間7月27日，以太坊現(xiàn)貨ETF總凈流入923萬美元。單日凈流入最多的以太坊現(xiàn)貨ETF為貝萊德（Blackrock）ETFETHA，單日凈流入為1175萬美元，目前ETHA歷史總凈流入達114.2億美元。單日凈流出最多的以太坊現(xiàn)貨ETF為InvescoETFQETH，單日凈流出為252萬美元，目前QETH歷史總凈流入達2210萬美元。截至發(fā)稿前，以太坊現(xiàn)貨ETF總資產(chǎn)凈值為106.5億美元，ETF凈資產(chǎn)比率（市值較以太坊總市值占比）達4.53%，歷史累計凈流入已達111.9億美元。
昨日比特幣現(xiàn)貨ETF凈流出1160萬美元以太坊現(xiàn)貨ETF凈流入1170萬美元
2026-07-28 12:01
7月28日消息，據(jù)FarsideInvestors數(shù)據(jù)，昨日美國現(xiàn)貨比特幣ETF總凈流出1160萬美元。其中，BlackRockIBIT凈流出880萬美元，F(xiàn)idelityFBTC凈流出280萬美元；其余比特幣ETF當(dāng)日資金流均為0。以太坊現(xiàn)貨ETF昨日總凈流入1170萬美元。其中，BlackRockETHA單日凈流入1170萬美元，其他以太坊ETF當(dāng)日資金流均為0。

最新国产好看的视频,伊人天堂AV在线,国产Aaaaaa视频,蜜臀视频在线观看一区,人妻av色图,密臀久久久精品影片,青青视频免费观看毛片,久草在线观看视,国产三级精品色情在线

Web3 安全入門避坑指南（錢包被惡意多簽風(fēng)險分析）

背景