この記事のハッシュ (SHA1):eeeb15caf37b08bc9a9b6058c54bc433712d748fa96e7afd80531b2531946d59
番号:Chainyuan Technology Security Knowledge No.049
先週は、GRASSの対魔女メカニズムと代理メカニズム、そしてGRASSの通貨発行に伴って発生したYuyue盗難事件について紹介しました。先週記事を公開した後、GRASS が人気になって以来、AFK の「ゼロ プレイ」プロジェクトが数多く存在していることがわかりました。数千万ドルの資金を調達したプロジェクトもあれば、資金調達なしにペーパーカンパニーを設立して何もないところから生み出されたプロジェクトもあります。今日お話しするのは、アイドルプロジェクトを装って不正行為を行っているプロジェクトです。
オンフック項目
今日のトピックについて話す前に、業界でよく知られている「ハングアップ プロジェクト」についていくつか触れておく必要があります。これらのプロジェクトでは通常、ユーザーは単純なアイドル操作を通じてエアドロップとトークン報酬を獲得できます。アイドルプロジェクトにはさまざまな形式があり、具体的な運営方法も異なりますが、いずれも何らかの形でのリソース共有やコンピューティングリソースの貢献に依存しています。
その中で、有名な AFK プロジェクトとしては、Grass、DAWN、BlockJoker などが挙げられます。各プロジェクトの動作は異なります。
Grass: Grass プロジェクトは当初 Web ページを通じて実装されましたが、第 2 フェーズ以降は、参加者が追加の帯域幅を企業や研究機関に提供してデータ送信やネットワーク リソースを共有するようになりました。帯域幅を提供することで、ユーザーにはトークンが与えられます。
DAWN: Grass と同様に、DAWN も帯域幅共有に基づいたプロジェクトですが、分散型自律ワイヤレス ネットワークを通じて家庭や企業に帯域幅を提供し、それによって分散型ネットワークを形成することに重点を置いています。ユーザーは、自分のネットワーク リソースを共有することで特定の報酬を獲得できます。
BlockJoker: このプロジェクトはブラウザを介したハイジャックを目的としています。ブラウザーでマイニング プロセスをシミュレートすることにより、ユーザーのコンピューターの CPU がハッシュ値を計算し、ユーザーがエアドロップを取得するためのワークロード プルーフを実行できるようにします。
これらのアイドルプロジェクトの魅力は、そのほとんどがユーザーに複雑な操作を実行させたり、追加の資金を投資したりする必要がなく、コンピューターをバックグラウンドで一定期間実行させるだけで済み、ユーザーは報酬を得ることができることです。最も重要なことは、これらの報酬は通常、エアドロップ トークン、プラットフォーム ポイント、またはその他の形式の仮想資産であるため、多くの小売ユーザーやスタジオの参加を引き付けることです。
しかし、こうしたプロジェクトは多くの場合「簡単にお金を稼ぐことができる」「投資は必要ない」と約束されているからこそ、多くの小売ユーザーが参加するようになっています。誰もが知っているように、人が集まるところには詐欺師がいます。正式なアイドルプロジェクトの中には合法で実際の価値のあるものもありますが、これらのプロジェクトの人気が高まるにつれて、詐欺や悪質なプロジェクトも多数出現しています。
これらの詐欺師の一部は、この「ハングアップ」モードを利用し、同様のプロジェクトを装って、ユーザーにマルウェア、ブラウザのプラグイン、またはウォレットの秘密キーのインポートを誘導します。ユーザーが詐欺にかかると、詐欺師は暗号資産を盗んだり、その他の個人情報を入手したりする可能性があります。これらの犯罪者は、多くの場合、「通常のプロジェクト」の運営者を装い、偽の成功事例や社会的証明を利用して信頼性を高め、より多くのユーザーを誘い込んで餌に誘います。
自社開発のWEB3プラグイン
被害者は11月8日に私たちに連絡し、AFKプロジェクトで騙された経験を語り、私たちに助けを求めてきました。何が起こったのかというと、Telegram グループの誰かが Grass に匹敵する「ゼロラグ プロジェクト」を共有しているのを目撃しました。プロジェクト パーティは、これは完全に無料の活動であり、Nodepay プロジェクト パーティに協力していると主張しました。バックドアプラグインを使用すると、Nodepay を停止した場合の 1.5 倍の利益を得ることができます。
被害者が参加した Telegram グループの人々は、「成功事例」を積極的に共有しています。彼らは、バックドア プラグインがオンになっている限り、収入が 1.5 倍になり、より多くの Nodepay エアドロップ報酬を獲得できると述べています。被害者は、特に自分のポイントの成長記録を自慢している人を見たときに、この情報が非常に信頼できると感じます。グループ内の雰囲気もとても盛り上がっていて、どうすればポイントを稼げるかみんなで話し合っており、早く入会を勧める人も多かったです。
グループの友人 (行為者) の指導の下、被害者はこのバックドア プラグインを使用することに決め、バックドア プラグインをダウンロードして手順に従い、ウォレット ニーモニックをバックドア プラグインに入力しました。バックドア プラグインのインターフェイスは正常に見え、特に不審な点はありませんでした。被害者は何も考えず、指示に従って操作を続けました。
その直後、被害者はウォレット内の SOL と ETH 資産が盗まれたようで転送されていたことに気づきました。そのとき初めて、彼は自分の財布の秘密鍵を詐欺師に漏らし、その結果、資産が盗まれたことに気づきました。
オンチェーントレーサビリティ分析の結果、被害者の資産損失の原因はニーモニックフレーズの漏洩であることが確認されました。
現在、被害者の資産は依然として詐欺師のアドレスに保存されており、変更されていません。私たちは現在 2 つのウォレットを監視しており、その後の資金が送金された後に追跡する予定です。自分の資産の流れを見ることに興味がある友人も、引き続き私たちをフォローすることができます。新しいトレンドが現れたら、できるだけ早く公開します。
予防措置
アイドル状態のプロジェクトを狙う方法はたくさんあり、防止するのは少し複雑です。
一部の AFK プロジェクトでは、上記のようにバックドア ツールをダウンロードしてニーモニック フレーズを入力する必要があります。一部のプロジェクトでは、バックドア ツールを通じて携帯電話に保存されているニーモニック フレーズを直接取得できます。署名を通じて、メインチェーンコインなどを転送することができます。実際、スープは変わっても薬は変わらない、彼らは新しい服を着たただの老人だ。
では、どうやってそれを防げばよいのでしょうか？
やってはいけないことを 3 つまとめました。
まず、ニーモニック フレーズを公開しないでください。プロジェクトが何であっても、ニーモニック フレーズの入力が必要なプロジェクトは詐欺です。
次に、署名に GAS が必要かどうかに関係なく、署名する前に署名の特定の機能を確認する必要があります。
第三に、バックドア ツールを勝手にダウンロードしないでください。バックドア ツールには、ウォレット キーを取得するためのスクリプトが隠されている可能性があります。ツールを使用する前に、必ずバックドア ツールのセキュリティを繰り返し確認し、安全であることを確認してください。
結論
AFK プロジェクトは何千万もあり、ゼロでお金を稼ぐのは非常に困難です。Grass はお金がゼロのように見えますが、実際には、多くの人々やスタジオがお金を稼ぐために高品質の IP を構築するために多額の資金を費やしてきました。単一のアカウントからの収入は実際にはそれほど多くありません。そして、多くのプロジェクトは多くの時間を費やしましたが、良い見返りはなく、約1u相当のトークンをエアドロップする可能性もあります。 Grass の前回の号で述べたように、利益がなかっただけでなく、何十万もの損失を被った人さえいました。
したがって、友人の皆さん、これらの言葉を見たときに衝動的に参加しないでください。参加する前にプロジェクトについてよく調べてください。プロジェクト当事者の署名行為には十分注意し、勝手にニーモニックを記入したり、アプリケーションソフトやプラグインをダウンロードしたりしないようにしてください。
