本文Hash (SHA1):eeeb15caf37b08bc9a9b6058c54bc433712d748fa96e7afd80531b2531946d59
编号: 链源科技Security Knowledge No.049
上周，我们介绍了GRASS的防女巫机制，代挂机制，还有随GRASS发币出现的Yuyue的被盗事件。当我们上周发完文章后，发现了自从GRASS爆火后，还涌现了非常多的挂机“零撸”项目。有的项目融资千万，有的项目挂个空壳公司没有融资，凭空出世。而我们今天要讲的，就是打着挂机项目的旗号，行着诈骗之事的项目。
挂机项目
在我们讲今天的主题之前，有必要先提一下目前业内比较知名的一些“挂机项目”。这些项目通常都是通过简单的挂机操作，用户就能赚取空投、代币奖励。挂机项目的形式多种多样，具体的操作方式也各有不同，但它们都依赖于某种方式的资源共享或计算资源的贡献。
其中，一些知名的挂机项目包括 Grass、DAWN、BlockJoker 等。每个项目的运作模式都不尽相同：
Grass：Grass项目最开始为通过网页进行挂机，到了二期后为通过官方自研的工具进行挂机，参与者的额外带宽被提供给企业和研究所，用于数据传输或网络资源共享。通过提供带宽，用户能够获得代币奖励。
DAWN：与Grass类似，DAWN也是一个基于带宽分享的项目，但它更注重通过分散式自治无线网络将带宽提供给家庭和企业，从而形成一个去中心化的网络。用户通过分享自己的网络资源，赚取一定的奖励。
BlockJoker：这个项目是通过浏览器进行挂机。在浏览器中通过模拟挖矿过程，让用户的电脑的CPU计算哈希值，使用户进行工作量证明来获取空投。
这些挂机项目吸引人之处在于，它们大多无需用户进行复杂的操作，不需要投入额外的资金，只需让计算机在后台运行一定时间，用户就可以获得奖励。最重要的是，这些奖励通常是空投代币、平台积分或者其他形式的虚拟资产，因此它们吸引了许多散户用户和工作室参与。
然而，正因为这些项目往往承诺“轻松赚钱”、“无需投入”，因此吸引了大量的散户用户参与。正如我们所知道的，哪里人多，哪里就有骗子。虽然一些正规的挂机项目是合法且有实际价值的，但随着这些项目的热度上升，也涌现出了大量的诈骗和恶意项目。
其中一些骗子利用这种“挂机”模式，伪装成类似的项目，诱导用户下载恶意软件、浏览器插件或导入钱包私钥。一旦用户上当受骗，骗子就可以窃取他们的加密资产或获取其他个人信息。这些不法分子往往会伪装成“正规项目”的运作方，通过虚假的成功案例和社交证明来增加可信度，吸引更多的用户上钩。
自研WEB3插件
受害者在11月8日联系了我们，讲述了自己在挂机项目中被骗的经历，并向我们寻求帮助。事情是这样的：他在Telegram一个群里看到有人分享了一个比肩Grass的“零撸挂机项目”，项目方声称这是一个完全免费的活动并且他们和Nodepay项目方有合作，只要使用他们的后门插件就可以获得1.5倍的Nodepay挂机的收益。
受害者加入的Telegram群里的人都在积极分享自己的“成功案例”，他们说只要开启后门插件就可以得到1.5倍的收益，从而拿到更多Nodepay的空投奖励。受害者看到这些信息后觉得非常可信，尤其是看到有些人还晒出了自己的积分的增长记录。群里的气氛也非常火热，所有人都在讨论如何赚更多积分，还有很多人推荐他赶紧加入。
在群友（演员）们的引导下，受害者决定使用这个后门插件，于是他下载了后门插件并按步骤操作，在后门插件里输入了自己的钱包助记词。后门插件的界面看起来正常，没有任何可疑之处，受害者没有多想，继续按指引进行了操作。
不久后，受害者发现自己的钱包里SOL和ETH的资产都被转走了，显然是被人盗走了。此时他才意识到，自己已经把钱包的私钥暴露给了骗子，导致资产被盗。
经链上溯源分析后，我方确认，该受害者丢失资产的原因为助记词泄露。
目前，受害者的资产仍存储于骗子地址中，暂未变动。目前我方已监控该两个钱包，待后续资金转走后进行追查。有兴趣看他们资产流向的朋友也可以持续关注我们，当出现新动向后，我们也会第一时间进行发布。
防范
挂机项目钓鱼的方式可太多了，防范起来也会稍微复杂一些。
有的挂机项目会如我们上面一般，要求下载后门工具填写助记词；有的会通过后门工具直接获取你存在手机内的助记词；有的会通过签名让你授权代币；有的会通过签名让你转走主链币等等。其实换汤不换药，骗局还是那几类，不过是旧人穿新衣罢了。
那么应该如何防范呢？
我们为各位总结了三不要：
第一，不要泄露助记词，不论是什么项目，要你填写助记词的项目都为骗局；
第二，不要随意签名，无论签名是否要付GAS，一定要确认签名具体的作用再进行签名；
第三，不要随意下载后门工具，后门工具很可能暗藏获取你钱包密钥的脚本，一定要反复确认后门工具的安全性，确保安全无误后，再使用该工具。
结语
挂机项目千千万，想要零撸真的难，Grass看似零撸，实则很多人或工作室都花了大价钱搭建优质IP来撸毛，因为单号收益实在是不多。并且许多项目付出了很多时间，然而并没有很好的回报，甚至可能就空投1u左右价值的代币。就如我们上期Grass所说，有的人不但没有收益，甚至丢失了几十万。
所以朋友们，请对零撸和挂机去魅吧，不要见到这几个字就冲动参与，零撸花的不仅时间，有的时候可能还坑害你的钱财，参与前请做好项目调研，小心项目方的签名动作，并且一定不要填写助记词，不要随意下载应用软件及插件。
