Discord对玩NFT的玩家来说是一个必不可少的工具，但是区块链的世界局丛生，Discord则是重灾区，作为普通用户拥有安全意识是非常有必要的，能有效防止资产被盗。
6月17日，推特一位NFT爱好者@Amber不幸丢失了心爱的7个NFT，购入价值在20ETH左右，由于Amber在不知情的情况下点击了Discord上ChinaChic_NFT交流群内的钓鱼链接导致NFT被盗。该链接为攻击者发布的假空投钓鱼链接。ChinaChic_NFT是一个NFT交流社区，目前拥有3.6万用户。
事件梳理
在得知被盗事件后，我们第一时间与NFT玩家Amber取得了联系，了解了整个案件发生的过程。必查客团队通过对攻击者地址进行跟踪，发现黑客地址为0xD62C847cb1E1168fB8fA4D716917D75765d05932，Amber的7个NFT均在同一时间转入该地址。其中包含mfers#5258和#4089；OtherdeedforOtherside#60831和?#91472；Meebits#8654；PXN:GhostDivision#3188；PREMINTCollectorPass-OFFICIAL#9450。
Polygon联创：Web3游戏是加密货币大规模采用的最大驱动力之一:5月25日消息，Polygon 联合创始人 Sandeep Nailwal 表示，Web3 游戏是加密货币大规模采用的最大驱动力之一。在接下来的 6-18 个月里，会有一些顶级游戏在 Web3 中发布。仅去年一年，Web3 游戏的融资资金就超过 20 亿美元。[2023/5/25 10:39:14]
通过Etherscan和NFTscan对该地址跟踪，发现除Amber的被盗NFT外，还有另外3件NFT通过非买入的方式存入该钱包地址。
The Graph联创将推出信息图谱协议和对应Web3浏览器:金色财经报道，去中心化索引协议The Graph联合创始人Yaniv Tal正在准备推出信息图谱应用Geo和对应的Web3浏览器，以建立一个新的互联网。Yaniv Tal表示，2023将是Web3的“突破年”，这个领域需要更多工具来确保可验证性和安全性，然后才能真正起飞。
其中，Geo应用寻求使用加密工具将公共信息组织成去中心化的知识图谱。该公司将整理区块链数据并开发任何人都可以访问的可浏览用户界面。Geo将利用 The Graph进行数据索引，但将作为一个单独的业务运营。[2022/10/25 16:38:19]
攻击者在盗取NFT后，4小时内分别以0.5ETH和1.499ETH的价格出售了Ghost#3188和mfers#5258藏品，一天后又以0.78ETH的价格出掉了PREMINTCollectorPass-OFFICIAL#9450，售价远低于市场价。
马斯克：Web69的想法不错:金色财经报道，前 Twitter 首席执行官 Jack Dorsey 近日宣布推出“Web5”，他试图在比特币网络上构建 Web 组件并专注于身份而非 Token 化支付，同时解决现实个人数据保护问题，确保不会将这些数据出售给第三方，该项目旨在将去中心化身份和数据存储带入 Web 应用程序，同时将数据所有权归还给用户。
此消息发布后，一位名叫“Wandrinstar”的狗狗币社区用户在社交媒体上称：“如果Jack Dorsey 和比特币可以创建 Web5，那么狗狗币也可以创建 Web69。” 这条推文立刻引起了 Jack Dorsey 的注意，他在回复中 @ 了 Elon Musk 并表示“靠你搞定 Web69 了”，马斯克回复称“Web69 的想法会很热门”。[2022/6/12 4:20:04]
法国风投Alven为其新基金募资3.5亿欧元，并启动Web3计划Operation3:6月1日消息，总部位于法国巴黎的风险投资公司Alven宣布旗下第六只基金已完成3.5亿欧元融资，超过其最初设定的3亿欧元融资目标。该基金将继续投资于金融科技、市场、企业软件、社交和娱乐领域，以及包括加密和气候技术的新领域。
此外，Alven还与全球Web3社区Jericho合作启动了一项名为Operation3的Web3计划，旨在通过导师制和工作坊相结合的方式帮助Web2领域里的人了解Web3并寻求更好的职业生涯。[2022/6/1 3:56:15]
其余的4件被盗NFT分别被转移到了另外4个钱包地址，通过对钱包地址追踪分析，必查客团队发现这4个钱包地址此前均未发生过任何交易行为，所以极有可能是黑客的清洗渠道之一。钱包地址如下:
0xd5ebd30d7c3dfad8e5e4b5ea68f899e77c3fe871
0xc6fdf3284d7e4e51577a69528245eafc420e739f
0x3a8c9342be4a359e4c8bb6808555a9fa7981509f
0x7e338a9d851bfcadd9b2c99e93126952767852bf
Discord钓鱼攻击者通常是需要先获得用户的授权，之后调用transferfrom方法将用户的NFT盗走。攻击者往往会通过空投或是验证伪装等来诱导受害人点击授权同意，为了增加可信度，甚至会盗取官方Discord账号，所以官方发布的消息也可能是钓鱼信息，官方不等于绝对安全。
黑客攻击方式多样，以下列举几个防指南供大家参考：
1、对于discord私信一定要提高警惕，相信直觉，觉得奇怪或者反常的操作一定要留个心眼，多进行信息的交叉验证。
2、很多钓鱼链接通过私信联系发送，关闭私信消息或许能为你阻挡住一部分钓鱼链接。
3、安装反钓鱼插件，可有效辅助识别一部分钓鱼网站。但最重要还是需要用户有谨慎的态度。
4、当你获得某个信息时，从多渠道获取信息，保证官网、opensea项目、twitter、discord等多个信息的交叉验证。也可直接与官方进行联系，验证真假。
5、比较保险的操作建议是：将Discord和MetaMask所使用的浏览器分开。
对于用户来说，还可以通及时取消授权(approve)在源头上对抗这类攻击的，在发现授权网站有问题，但资金还未被转移时，可以及时通过以太坊官方浏览器Etherscan提供的授权检查及取消工具来取消授权.
小结
作为web3用户，重要的是要注意任何添加操作和代码都可能是恶意的，在用户手动触发执行的那一刻，需要保持一颗怀疑的心是非常必要的。
来源：金色财经
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。