大门安全课 01｜Gate & BlockSec：防范盗号、钓鱼与身份冒用的有效策略

正文：

你的合作伙伴在 Telegram 上发来信息，告知公司收款地址已更改，并请你将这笔款项转至新地址，附带的还有一份盖章确认函。此时，你会采取什么行动？

如果你的选择是“立即转账，稍后再确认”，那么本文将为你提供重要的警示。实际上，许多资产损失并非源于复杂的代码或系统的入侵，攻击者并不需要破解区块链或密码学。他们仅需利用你的善良、信任，或是挑动你的贪婪与疏忽。

这正是 Gate 精心策划的《大门安全课》第一期的主题。我们邀请了区块链安全公司 BlockSec 和 Gate 安全团队，从安全机构和交易平台两个角度，探讨这种在行业内造成重大损失但技术含量相对较低的攻击手段：盗号钓鱼、社会工程和熟人作案。

BlockSec 的周亚金教授是香港中文大学的副教授，同时也是 BlockSec 的共同创始人。他在安全领域的国际顶级会议和期刊上发表了超过 50 篇高水平论文，引用次数超过万次，目前研究的方向是重构系统基础设施，以提升 AI 智能体的效率与安全性。

BlockSec 成立于 2021 年，专注于区块链安全与合规，业务涵盖链上安全防护、资金追踪调查和数字资产合规。至今已为全球超过 1000 家客户提供服务，累计保护链上资产超过 500 亿美元，非法地址标签库规模超过 6 亿，单个案件的最大还原资金规模达到 16 亿美元。

Gate 安全团队：大家好，很高兴能推出这个栏目。Gate 安全部门负责平台账户、交易及资产安全体系的建设，并长期处理用户的异常账户申诉与协查请求。

Gate 成立于 2013 年，是行业内首个推出 100% 储备金证明的交易平台，现已服务超过 6000 万用户。对我们而言，安全不仅是附加功能，而是业务能够正常运作的基础。通过《大门安全课》，我们希望能够清晰地阐明这些真实风险背后的共同机制。

BlockSec 周亚金教授：社会工程攻击的核心在于，攻击者并非直接攻破区块链底层或智能合约，而是通过控制身份、通信渠道，或利用已有的信任关系，诱使受害者主动进行转账、签名、授权或安装恶意程序。这类攻击常见的有五种类型。

1）社交媒体账号被接管。攻击者直接控制真实账号，而非伪造，通过该账号长期积累的影响力推广代币或钓鱼链接。真实的账号并不保证其发出的信息也真实。

2）通过接管通信渠道实施的定向诈骗。美国联邦法院公开文件中披露的 Cheng v. T-Mobile 案就是一例：攻击者通过 SIM Swap 控制手机号，进而接管真实的 Telegram 账号，利用双方原本的比特币交易关系，以高于市场价的理由诱使受害者转出 15 BTC。账号和联系人都是真实的，历史交易关系也真实，但此刻发出指令的人已不是原来的那一位。

3）通过长期建立信任关系引导投资。攻击者以朋友、投资顾问、租客或潜在合作伙伴的身份进入受害者的社交圈，在数月或更长的时间内建立信任，然后引导其登录虚假投资平台。这类攻击不需要盗取任何账号，因为攻击者主动成为了受害者信任的人。

Gate 安全团队：周教授提到的五类攻击，我们在处理申诉时几乎都遇到过，且与我们在申诉和协查中看到的内容高度一致：攻击者往往无需攻破交易所系统。

我们的平台安全防线非常坚固，例如：AI 和机器学习的实时威胁检测、全链路加密传输、分布式流量清洗，以及 Anycast 和 DNSSEC 的部署，这些措施持续运行。但社会工程攻击并不是要攻破这些安全防线，而是通过掌握用户的私人信息来实施攻击。这也是我们创建这个栏目的原因。有些风险可以通过平台改进来解决，而有些则需要用户自己识别，而后者正是造成最大损失的攻击类型。

同时补充两个只有从交易平台角度才能看见的视角。

首先是频率的错觉。那些名人账号被盗的新闻确实引人关注，但从我们交易所收到的工单来看，真正高频的攻击对象其实是普通用户。被盗的 Telegram 账号会向熟人催促付款，修改合作收款地址，或冒充项目方发布虚假的 Mint 地址等。每笔金额可能只有几千美元，不会引起媒体的关注，但数量远远超过名人事件，用户希望我们能拦截交易。

其次是：冒充交易所客服。攻击者伪装成 Gate 的客服，通过邮件、短信或社交平台私信用户，通常以账户异常、需要验证或有一笔提现待确认为由。对此，我们提供了两个用户可以立即使用的工具。

首先，在官方验证渠道中，用户可以直接查询任何域名或联系邮箱是否属于 Gate 官方。我们希望用户养成一个习惯：收到任何自称来自 Gate 的消息时，先到这里确认一次，这个动作只需十几秒。

其次是防钓鱼码。这是一串用户自行设置的字符，所有 Gate 发出的邮件都会包含它。反过来说，任何没有这串码的“Gate 邮件”必定是伪造的。该机制的价值在于，它不依赖用户的判断力。用户无需分辨发件人域名中的多余字母，也不需要判断措辞是否像官方，只要查看是否包含这串自己设定的码。

BlockSec 周亚金教授：首先需要建立一个基本原则：账号的真实性与信息的真实性必须分别进行验证。即使信息来自经过认证的官方账号、项目方账号、名人账号或长期联系的熟人账号，也不应仅凭账号身份直接执行高风险操作。尤其是在购买新发行的代币、连接钱包、签署链上交易、授予 Token Approval 等操作时，要格外谨慎。

对于名人或项目方突然发布的代币合约地址，可以从以下几个方面进行验证。

1) 跨渠道验证。不应只依赖单一的 X、Telegram、Discord 或微信账号。应同时检查官方网站、其他官方社交媒体渠道、社区公告以及可信的第三方信息源。如果某个项目突然宣布新的 Token、Airdrop 或 Mint，但官方网站和其他官方渠道完全没有同步相关信息，这本身就应被视为异常信号。

2) 验证链上资产和合约状态。关注合约的部署时间、Deployer 地址、流动性规模、持有者集中度，以及主要地址之间是否存在明显的资金关联，是否有快速拉升和集中抛售的行为。普通用户不一定需要进行专业级的链上调查，但至少应通过可信的区块链浏览器和安全工具进行基本检查。

3) 不要在未确认的情况下急于行动。社会工程攻击往往依赖于 FOMO 和紧迫感。“马上结束”、“限时领取”、“现在不买就没有了”等信息本质上都在压缩用户验证信息的时间。对于未经充分验证的新资产，等待和确认通常比急于交易更为安全。

如果朋友、合作伙伴或公司同事突然提出转账或更换收款地址等要求，应该通过独立于原通信渠道的另一个渠道进行确认。例如：在 Telegram 收到转账请求后，通过电话进行确认；在邮件中收到更换收款地址通知后，通过已确认的联系方式核实；在进行大额转账前重新确认地址，并先进行小额测试。最重要的原则是：不应在同一个可能已被攻击者控制的通信渠道中，同时进行指令发起和身份验证。

Gate 安全团队：最根本的区别在于时间。由于链上钱包被盗，从签名到资产转移是一气呵成，仅需几秒钟，终局已定，没有中间环节可供干预。而在交易平台上，从