就在昨天，使用PolyNetwork跨链协议的O3Swap被盗，损失惨重。据报道，黑客带走了USDT、ETH和比特币等总价值共6.1亿美金的资产，这次被盗规模创下了DeFi新高。不仅很多平台如此，在身边也有很多朋友因失误操作踩坑众多陷阱，导致财产损失严重，更有甚者在牛市中归零，真的是惨不忍睹。今天给大家举几个典型的例子，希望大家可以引以为戒，避开这些陷阱。01交易平台安全等级过低
前段时间，有朋友交易平台的资产被盗，损失惨重。问了一下安全设置情况，竟然只有邮箱验证一个选项，并没有添加谷歌二次验证和短信验证等，可能由于邮箱密码与交易平台密码一致，导致密码泄露，资产直接被黑客提走了。很多人对于这些验证细节不以为然，通常建议大家把安全等级设置为：短信+邮箱+谷歌二次认证，尤其是转账的时候，把api功能全部关闭。刚入门的小伙伴，由于对钱包等认知不深，很容易把私钥丢失，建议把资产放在大的交易平台会好些，平台和我们日常使用的各个互联网平台类似，只要记住手机号，其实很容易就能找回。但是为了安全性，还是多设置几道门槛。同时如果有条件，建议手机短信验证码和谷歌二次认证码用不同的手机，防止手机被劫持，短信验证码和谷歌二次认证同时泄露。虽然这样做你使用起来会比较麻烦，同时黑客盗取的成本也是很高的。02私钥、助记词存储不当
Beosin：Avalanche链上Platypus项目损失850万美元攻击事件解析:2月17日，据区块链安全审计公司Beosin旗下Beosin EagleEye安全风险监控、 预警与阻断平台监测显示，Avalanche链上的Platypus项目合约遭受闪电贷攻击，Beosin安全团队分析发现攻击者首先通过闪电贷借出4400万USDC之后调用Platypus Finance合约的deposit函数质押，该函数会为攻击者铸造等量的LP-USDC，随后攻击者再把所有LP-USDC质押进MasterPlatypusV4合约的4号池子当中，然后调用positionView函数利用_borrowLimitUSP函数计算出可借贷余额，_borrowLimitUSP函数会返回攻击者在MasterPlatypusV4中质押物品的价值的百分比作为可借贷上限，利用该返回值通过borrow函数铸造了大量USP（获利点），由于攻击者自身存在利用LP-USDC借贷的大量债务（USP），那么在正常逻辑下是不应该能提取出质押品的，但是MasterPlatypusV4合约的emergencyWithdraw函数检查机制存在问题，仅检测了用户的借贷额是否超过该用户的borrowLimitUSP（借贷上限）而没有检查用户是否归还债务的情况下，使攻击者成功提取出了质押品（4400万LP-USDC）。归还4400万USDC闪电贷后， 攻击者还剩余41,794,533USP，随后攻击者将获利的USP兑换为价值8,522,926美元的各类稳定币。[2023/2/17 12:12:32]
ENS开发负责人：以太坊已支持CCIP读取与ENS通配符解析解决方案:3月14日，ENS开发负责人Nick Johnson在推特上表示，以太坊已支持CCIP读取与ENS通配符解析解决方案。据悉，跨链互操作协议（CCIP）为ENS采用的跨链解决方案，旨在支持在二层网络上发行链上的域名。[2022/3/14 13:55:55]
据了解，互联网圈某大V丢失价值数千万元的比特币，竟然是因为助记词放在了云笔记中，私钥或者助记词触网是比较忌讳的。如果大家想用钱包保存自己的资产，最简单的就是找个不用的手机，下载好钱包，把钱包地址和助记词抄写下来，如果担心丢失就把助记词多备份一个，同时手机和转账密码别忘记，但是助记词不能给任何人知道，助记词或者私钥泄露，资产就没了。这么做的好处就是，如果说你手机坏了或者忘记了转账密码，有存放好的两处助记词可以恢复，如果两个助记词丢了，那还有手机和转账密码可以。如果手机丢了，两份助记词也没了，那资产也就彻底没了。有的小伙伴为了方便，直接将私钥或者助记词通过微信等渠道发送，如果自己的手机安全性不好，也是容易泄露私钥的，就算要发也要分开发送，比如只发中间一段，首尾几个字符通过电话的方式告知对方，也是一种安全性更高的方案。之前就有朋友误操作，把助记词直接发到群里了，还好有熟人看到，及时转走他的资产并告知，不然后果很严重。类似的事件找回会非常的麻烦，由于数字资产的特殊性，相关机关立案略麻烦，所以还是防范于未然比较好。03进入钓鱼网站泄露私钥
奇虎360公开“基于联盟区块链的标识解析方法”专利:8月30日消息，北京奇虎科技有限公司、中国信息通信研究院日前联合公开一种“基于联盟区块链的标识解析方法、装置、存储介质及服务器”专利，申请日期为2021年4月29日，申请公布号：CN113315811A。天眼查App显示，该专利属于计算机技术领域。方法包括在第一对外节点接收到标识解析请求的情况下，从第一对外节点对应的本地数据库中查询是否存在与标识解析请求中的标识符对应的IPFS哈希值。
若未查询到IPFS哈希值，则基于标识解析请求向联盟区块链中除第一对外节点之外的其他节点发送第一查询请求；接收由联盟区块链中响应于第一查询请求的节点发送的IPFS哈希值，并基于IPFS哈希值通过第一对外节点访问IPFS服务，以获取IPFS哈希值对应的标识解析信息由此可有效提高对标识解析过程的安全性，保证通过标识解析得到的数据不易被篡改。（邮箱网）[2021/8/30 22:45:51]
动态 | EOSCanada 解析 B1 源代码解释相关期权兑现计划:据 IMEOS 报道，EOSCanada 发布文章解析 B1 源代码，以解释相关期权兑现计划。文中经过源代码分析得出结论，截至2019年1月1日，Block.one 可以赎回共计5879120个代币。分析结果认为，如果 Block.one 想要以小于其全部权重的票数进行投票，则他们必须赎回当前最大数量的代币。然后，他们必须将这些代币转移到一个单独的帐户，抵押，然后投票。截至撰写该文时（2019年3月中旬），这笔金额约为785万美元。因此，虽然 Block.one 以外的任何人都不知道他们投票的想法或他们想要用他们的代币做什么，但我们现在都能理解实际存在的限制。[2019/3/21]
今年很多人撸空投撸的很爽，然而就有很多坏人钓鱼，给你一个假的链接，说是领空投要你输入助记词或者私钥，然后资产就全部丢失了。用钱包玩DeFi或者其他NFT等，请大家切记，助记词私钥就是一切，你把这个给别人就等于是把钱给别人，就算要领空投，也不需要助记词和私钥。
如果是真的领空投，建议通过常见的手机钱包去操作，这有个好处就是很多DeFi项目是可以通过我们常见的钱包进行访问的，有些链接是经过钱包方审核的，被钓鱼的可能性很小，也不需要输入助记词和私钥，只需要验证自己是否有资格就成。如果常用的钱包都没有这个项目，那我觉得你就应该谨慎这个空投是否值得撸，尤其是当他需要你用助记词私钥的时候，你要有十二万分的警惕。04真假李逵
还有一些情况，就是发现是假的Token，之前我进过一个电报群，说有HT搬砖项目，你只要往对方的钱包地址打ETH，就可以收到价值几倍的HT，美其名曰搬砖啊什么的，群里面聊的内容都是张三赚了多少多少，李四赚了多少多少，快点来操作吧，晚了就没有了.然而我一质疑说你这个HT是官方的吗？原理是什么?结果就被踢出群聊了。其实这是以假乱真，你确实是可以收到HT，但是这个是假的，跟本就不是我们认为的那个，是个李鬼。等你充值的时候发现迟迟入不了账然后找客服的时候，客服说你被了，这是假的，所以有的时候我们也要放大眼睛，去看看对应的合约地址和官方公布的合约地址是否一致。因为目前在以太上发一个项目实在太简单了，很多李鬼，要仔细比对该合约地址。其他的情况类似，有很多火热的项目1EO，有人说有额度，可以提前释放，其实也有可能是假的。05电脑被黑地址被篡改
还有一种情况就是我们很多人操作的时候，地址都是复制粘贴的，但是有时候我们的剪切板如果被劫持篡改，就会丢失，之前有朋友就是因为这种原因丢了100多个ETH，也是挺可惜的。因此我们在转账的时候，一定要反复确认地址无误，哪怕你是通过扫码转账也要比对一下目标地址是否正确，很多时候我们不经意间放松警惕，目标地址被篡改，就跑到别人那里去了。06小结
以上的五种情况就是操作中容易碰到的一些坑，这些都是活生生的一些例子，为了自己的财产安全，希望大家可以提高警惕，不贪小便宜，免得因小失大。
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。