引言
在数字货币的世界里，安全性始终是用户最为关心的问题之一。近年来，随着Web3技术的兴起，数字钱包的安全风险也日益凸显。本期文章，我们将深入探讨钱包被恶意多签的风险，以及如何有效防范这一风险，确保数字资产的安全。
多签机制：安全性与风险的并存
多签机制的本意
多签机制最初的设计目的是为了提高钱包的安全性。它允许多个用户共同管理和控制同一个数字资产钱包的访问和使用权限。这样一来，即使部分管理者丢失或泄露了私钥/助记词，钱包里的资产也不一定会受损。
TRON钱包的多签权限系统
以TRON钱包为例，其多重签名权限系统设计了三种不同的权限：Owner、Witness 和 Active。每种权限都有特定的功能和用途：
- Owner 权限：拥有执行所有合约和操作的最高权限。只有拥有该权限才能修改其他权限，包括添加或移除其他签名者。
- Witness 权限：与超级代表(Super Representatives)相关，拥有该权限的账户能够参与超级代表的选举和投票。
- Active 权限：用于日常操作，如转账和调用智能合约。
在新建账户时，该账户的地址会默认拥有Owner权限（最高权限），可以调整账户的权限结构，选择将该账户的权限授权给哪些地址，规定这些地址所占权重的大小，以及设置阈值。
恶意多签的风险与过程
恶意多签的过程
黑客获取用户私钥/助记词后，如果用户没有使用多签机制，黑客便可以将Owner/Active权限也授权给自己的地址或者将用户的Owner/Active权限转移给自己。以下是恶意多签的两种常见情况：
- 利用多签机制：黑客给用户地址授权了Owner/Active权限，此时账户由用户和黑客共同控制。用户虽然持有私钥/助记词，也有Owner/Active权限，但无法转移自己的资产，因为需要用户和黑客的地址都签名。
- 利用TRON的权限管理设计机制：黑客直接将用户的Owner/Active权限转移给黑客地址，使得用户失去Owner/Active权限，连“投票权”都没有了。
恶意多签的途径
结合MistTrack收集到的被盗表单，以下是几种钱包被恶意多签的常见原因：
- 下载假钱包：在下载钱包时，未能找到正确的途径，点击了电报、推特、网友发送的假官网链接，下载到假钱包，私钥/助记词泄露。
- 钓鱼网站：用户在一些出售加油卡、礼品卡、VPN服务的钓鱼充值网站输入了私钥/助记词。
- OTC交易：被有心之人拍到私钥/助记词或以某手段获取账户的授权。
- 骗子提供私钥/助记词：骗子提供私钥/助记词，称如果帮助提取资产可以得到酬劳，但提币权限被配置给了另一个地址。
- 点击钓鱼链接：用户在TRON上点击了钓鱼链接，签名了恶意数据。
防范恶意多签的策略
定期检查账户权限
用户应定期检查账户权限，查看是否有异常。如果发现权限被更改，应立即采取措施恢复。
从官方途径下载钱包
确保从官方网站下载钱包，避免点击不明链接，防止下载到假钱包。
提高设备安全性
安装杀毒软件和钓鱼风险阻断插件，提高设备安全性。
加强自我保护意识
不轻易泄露私钥/助记词，不轻信陌生人的承诺。
结论
恶意多签是数字钱包安全的一大风险，但通过加强自我保护意识和采取有效的防范措施，我们可以大大降低这一风险。定期检查账户权限、从官方途径下载钱包、提高设备安全性以及加强自我保护意识，是确保数字资产安全的关键。
参考文献：
– 慢雾科技：Web3 安全入门避坑指南｜钱包被恶意多签风险
– TRON钱包官方文档
Views: 0