David Schwartz警告XRP持有者提防索要12或24词短语的钓鱼链接

Schwartz误点钓鱼通知的全过程

Ripple首席技术官荣休David Schwartz披露了一次针对他的钓鱼攻击:在他的Android设备上,一条通知伪装成SecuX硬件钱包应用的官方消息,点开后指向一个索要12个或24个单词恢复短语的页面。Schwartz长期担任Ripple的首席密码学家,也是XRP账本(XRP Ledger)周边最受关注的安全声音之一。他在帖文中写道,这条通知以SecuX的名义出现在手机上。出于好奇,他点了进去,应用正常打开,表面上没有任何异常,直到他翻开了通知历史记录。完整的信息这才显露出来:它声称用户资金正处于风险之中,SecuX钱包被检测到存在严重漏洞,需要立即进行验证。Schwartz指出,通知内的链接指向一个诈骗页面,要求用户输入12个或24个单词。这些单词构成了助记词(种子短语),是加密钱包持有者手中最敏感的一组凭据:任何拿到这串单词的人,都可以在另一台设备上恢复该钱包,进而完全掌控其中的资金。他随后发布了一条关于这条伪造通知的帖子,并用三个词概括了整件事的教训:“千万别这么做。”在随后的交流中,一位围观者建议大家干脆不要点击这类通知,Schwartz回应说,他自己正是败给了好奇心,而且危险只有在查看通知日志之后才变得清晰。推送消息天然继承了其伪装来源应用的可信度,这正是这层伪装足以骗过一位行业老将的原因。对XRP投资者而言,这类设备是存放XRP的常见选择,因此这番警告的分量不小;值得注意的是,此次攻击瞄准的是钱包凭据,与XRP价格的任何波动无关。

10月16日SecuX的紧急维护

就在警告出现前数小时,涉事应用背后的厂商SecuX披露了紧急维护计划。10月16日(星期五),这家公司宣布其钱包应用正在进行一次大型系统升级和紧急维护,目的是增强安全性与稳定性,但没有说明是什么问题迫使 intervention。此后的服务更新确认,应用已恢复正常运行。借助这一确认,厂商重申了一条长期规则:SecuX绝不会索要24个单词的恢复短语,用户应避开可疑或未经验证的链接,任何冒充SecuX客服的消息都值得怀疑。Schwartz帖子的落款日期同样是10月16日。悬而未决的是通知本身的来源。他没有查明这条消息究竟来自应用本身、第三方推送服务还是其他某个渠道,目前也没有任何公开发布的信息能独立证明SecuX的软件或基础设施遭到入侵。公司的维护公告同样没有解释到底哪里出了问题。换句话说,现有记录能确认的只有这次诈骗企图和这次维护,尚不能确认任何失陷。这个空白对依赖冷钱包储存长期仓位的XRP持有者来说并非小事:一个来历不明的钱包应用维护窗口,紧接着出现伪装同一应用的伪造通知,恰恰是钓鱼团伙惯于利用的时间差。移动推送通知已经成为加密货币诈骗顽固的分发渠道,因为它们出现在锁屏上,与真实提醒并列,而往往只需一次点击,用户就会落到欺诈页面上。把真伪区分开的不是直觉,而是验证:在输入任何东西之前,先核对发件方、链接内容和索要的东西。

恢复短语无法轮换

我们的判断是,在这起事件中成本最低的防御同时也是最有效的防御。Schwartz本人对事件的记录显示,这场骗局的全部分量就是一次索要单词的请求:没有签名弹窗,没有交易请求,也没有任何私钥暴露。一旦攻击者看过你的恢复短语,它就再也无法更换,因此输入了这串单词的持有者必须把全部资产转移到一把全新生成的钱包里,具体流程可参考我们的加密钱包恢复指南。在SecuX解释清楚10月16日这次维护的起因之前,对追踪XRP报道的任何人来说,合理的默认假设应当是:任何索要恢复短语的通知、横幅或邮件都是敌意的,无论它声称来自哪个应用。