本文Hash (SHA1):f167e6587a02a65c21d08a3f23ea7669be341deb
編號: 鏈源Security Knowledge No.046
GRASS，在國內也稱為小草，是一個網頁掛機獲取空投代幣的項目。
他們的概念很有意思：目前，很多大公司都在偷偷使用你的網路頻寬，像是臭名昭著的百度網盤。它們透過你的網路連接，獲取一些訊息，例如檢查價格、查看廣告等，完全是「白嫖」你的網路資源，而這些大多數人都沒注意到。
針對這個現象，Grass提出，他們會和一些經過認證的公司和研究機構合作，將用戶分享的頻寬分享給這些機構，而GRASS會對給他們分享閒置頻寬的用戶進行空投。
GRASS推出該專案近一年後，在10月28日，GRASS專案方對所有用戶都空投了代幣。
目前空投代幣的價格為1.5u/$GRASS，在開盤前，在多個交易所上線盤前交易如OKX，Gate，HTX等多個交易所。在10月28日，正式上線了Bitget，Bybit，HXT，Gate等交易所。
代掛
在講GRASS代掛前，我們先需要來講GRASS的防女巫機制。
防女巫機制:
GRASS的防女巫機制是透過查看你的電腦的「異常網路活動」來進行防女巫，即，如果你帳戶的IP有頻繁的變換，那麼GRASS的專案方就很有可能把你的帳號加入女巫列表中。這個機制是有一定的誤傷性的，特別是對於國內用戶，國內的用戶都會使用VPN參與，而有的VPN節點會很不穩定，或者用戶會經常更換連接節點。因此，項目方那顯示國內用戶的IP是不穩定的，所以很容易將國內的用戶列入女巫名單中。國內的用戶為了尋求穩定的IP，就會辦一個略的VPN。而工作室則是自己進行平台的搭建。
節點代掛:
雖然大部分用戶都會選擇VPN作為中轉節點，但有部分想多擼一些空投的用戶會選擇進行節點的代掛。
首先節點代掛的IP純淨，每天增長積分的效果都很好，比個人VPN節點獲得的數量會多不少。
其次，節點代掛可以防女巫，因為有的項目方會查看，如果一個IP存在多個帳號的情況，那麼很可能會將多個帳號列入女巫名單中。
最後一點是方便，你只需要出一部分錢，讓別人幫你做事，自己不需要做多餘的操作就可以收錢。
而有的人掛節點則會使用指紋瀏覽器，透過指紋瀏覽器取得多個IP位址，批量掛著，即使電腦關機了也還在運作。
由於GRASS專案方空投的金額較大，不少工作室和批量擼毛的個人方都透過代掛都賺的盆滿缽滿，然而仍有部分人雖全程參與，但卻賠了近30萬人民幣。
節點代掛詐騙:
被騙的為Yuyue這位推特上的KOL。在11月2日時，Yuyue發了一篇推文如下圖：
在GRASS計畫發布的初期時，Yuyue就參與了GRASS計畫。由於專案的敘事較好，熱度也高，就滋生了許多代掛工作室。在此期間Yuyue的朋友「大刀哥」就推薦了一個工作室給了Yuyue，聲稱有獨立IP，品質極高完全能符合官方對節點的要求。於是，Yuyue就聯繫了這個工作室進行幫忙，並且由於前期並不需要GAS進行互動操作，所以用於代掛的錢包也都為空錢包。這也是Yuyue一開始沒過多擔心的原因之一。
當每個號碼確認單號數量時，Yuyue發現，所有的帳號加起來連一萬個$GRASS代幣都不到。這邊再提供一個數據，有一個帳號從一月掛到十一月，總獲得2600個$GRASS代幣，並且該節點為個人節點，並不是所有時間都在掛的。所以這也是Yuyue對工作室不滿的原因之一。
當10.28，Yuyue準備領取空投時，由於進行「Claim」操作就需要耗費一定的GAS才能進行空投領取，於是Yuyue往每個錢包都打了0.08SOL（按11.4的市價，為12.69USDT），當打完後準備聯絡代掛工作室幫忙領取空投時，Yuyue發現，工作室跑路了，甚至連單號0.08的SOL都轉走了。
由於朋友介紹，投入相對較少，不涉及自己的主要錢包，工作室也有真的在掛節點。所以Yuyue才對此放鬆了警戒。
經統計，在這次事件中，Yuyue總被詐騙了4萬USDT。其中包括代掛費，GRASS空投，用於做GAS的單號0.08SOL。
節點代掛的騙局其實不少見，Yuyue碰到的騙局是一件難以避免的事，因為工作室有真的在幫你掛節點，你可以查到，平日也有進行溝通，其實是很難想到對方會捲款跑路的。
有的人說，代掛很容易跑路，那我能否就用指紋瀏覽器自己搭自己掛？其實是可以的，但指紋瀏覽器其實也有風險，並發生過對應的被盜事件。
指紋瀏覽器：
指紋瀏覽器的本質是，在伺服器中運行的瀏覽器，而你是透過遠端對其進行存取的。如此，你可以在指紋瀏覽器中購買許多的伺服器節點，在自己的電腦上就可以批次對多個節點進行操作。
許多的「擼毛」KOL就看中了這點，使用其作為擼空投的主力工具。在指紋瀏覽器中，最有名的便是比特瀏覽器。而正是該瀏覽器，發生了大量資產被竊。
23年8月26日時，多名加密社群的KOL，成員紛紛發文表示，在比特瀏覽器中使用的錢包被盜了，大多都是作為GAS的資金被轉走了，並且是全鏈的資金，並非單條鏈的資金。根據統計，總盜取價值150w美金。
經鏈上資料判斷，所有的被盜類型都為私鑰洩漏。
比特瀏覽器宣稱，資產被盜原因是服務端快取遭到駭客入侵，開啟了擴展資料同步的用戶錢包都有被盜風險，駭客會透過服務端快取獲取用戶同步至服務端的錢包私鑰，進而轉走用戶錢包的資金。
所以我們可以看到，指紋瀏覽器，也是不安全的，畢竟你買的只是一個伺服器的使用權，別人是可以隨時獲取監控你的個人資訊和存在瀏覽器中的資訊。
那我們該如何防範以上兩種被盜方式呢？
防範
在擼空投前，可以依照專案的類型來判斷，是否需要獨立節點，純淨節點。如若不需要，可以使用Google多開的方式，即在同一台電腦同時開啟多個Google瀏覽器，不同的瀏覽器對應不同的社媒帳號，錢包等。
但如果需要獨立節點，純淨節點時，可以選擇租用海外伺服器，自行搭建網路環境，或自行搭建個人的VPN。此處我們不做過多贅述，具體方法可以自己查一下。
雖然以上操作會比較麻煩，但確實安全且穩定。
但如果你還是想簡單省事，還是想找代掛或是使用指紋瀏覽器，那麼你需要注意以下幾點：
研究代掛工作室
第一，透過社群，推特等社群媒體，取得對應的工作室評價，如果工作室沒什麼人提及，那就不要去碰了。
第二，去聯絡工作室，查看是否有工作室的線下地址，如果您能查看到工作室線下地址，就可以在很大程度上防止其失聯。
第三，匯款時，確認聯絡人身分訊息，確保聯絡人的電話，微信與匯款時的名字相符。
代掛工作室的IP來源
第一，了解其IP位址來源的服務商，查看該服務商提供的品質是否合格。
第二，可以跟代掛工作室要IP位址，使用工具Whois進行IP查詢，可以查看到其是屬於機房IP或是個人純淨IP。如若是對IP有高要求的項目方，很可能會對機房IP進行防女巫操作。
第三，可以根據查到的IP訊息，與工作室提供的資訊進行比對，查看是否與承諾提供的吻合。
簽訂合約
如若是涉及大額代掛費用，可以進行合約的簽訂，使得代掛工作具備法律效應，並且可以很好的預防工作室跑路。
指紋瀏覽器
第一，查看指紋瀏覽器官方是否會有權限查看你的私鑰或錢包密碼。
第二，進入指紋瀏覽器的設置，查看資料同步的選項，關閉資料同步，避免不必要的敏感資訊上傳到雲端。
第三，指紋瀏覽器的錢包中不要存放過多的資產，只存放必要的GAS費用，並且要使用的時候再進行轉帳。
結語
擼空投本身就是一件以小博大的事情，在本身應花小錢辦大事的事上丟了大錢，那就十分不划算了。如果你懂技術，那麼多折騰一下，使用伺服器去分節點。如果空投不查IP，那你可以穀歌多開。如果查IP且你懶得折騰，那麼，在選擇工作室和使用指紋瀏覽器的事情上一定要慎之又慎，請一定要按照我們方法來保障你的資金安全,更多安全內容關注我們的gzh:鏈源安全。
