背景
在上一期Web3安全入門避坑指南中，我們探討了剪貼板安全問題。最近，一位用戶聯系慢霧安全團隊，稱其在抖音購買到被篡改的冷，導致約5000萬元加密資產被盜。本期我們將聚焦一個廣受信任但使用中存在諸多誤區的工具——硬件錢包。
硬件錢包因其私鑰離線存儲，一直被認為是保護加密資產的有效手段。然而隨著加密資產價值的上升，攻擊手段也不斷升級，包括假冒硬件錢包、偽固件更新、釣魚網站以及社會工程陷阱等。許多用戶在不知情中落入陷阱，最終資產被盜。
本文將圍繞硬件錢包的購買、使用和存放三大環節，梳理常見風險，結合真實案例解析典型騙局，并提供實用防護建議，幫助用戶更好地保護加密資產。
購買環節的風險
購買過程中主要存在兩類騙局：假錢包和惡意引導。
第一類騙局中，設備外觀正常但固件已被篡改，一旦使用，私鑰可能泄露。第二類騙局則是攻擊者利用用戶缺乏安全知識，通過非官方渠道出售“已被初始化”的設備，或誘導用戶下載偽造的配套應用，進而通過釣魚或社工手段完成收割。
例如某用戶從電商平臺購買硬件錢包，打開包裝后發現說明書類似刮刮卡。攻擊者通過提前激活設備、獲取助記詞后，將設備重新封裝并配上偽造說明書，通過非官方渠道出售。用戶按照說明掃碼激活并將資產轉入錢包地址后，資金便被轉走，落入標準盜幣流程。
這類騙局主要針對首次接觸硬件錢包的用戶。由于缺乏相關背景知識，用戶往往不會意識到“出廠預設助記詞”本身就是嚴重的安全異常。
除了“激活 重封裝”的套路，還有一種更隱蔽、更高階的攻擊方式是固件層面的篡改。設備外觀正常，但內部固件被植入后門。對用戶而言，這類攻擊幾乎無法察覺。
一旦用戶將資產存入此類設備，隱藏的后門便悄然觸發：攻擊者可遠程提取私鑰、簽署交易，將資產轉移至自己的地址。整個過程悄無聲息，等用戶察覺時，往往為時已晚。
因此，用戶務必通過品牌官網或官方授權渠道購買硬件錢包，避免因貪圖便利或便宜而選擇非正規平臺。尤其是二手設備或來路不明的新品，可能早已被篡改、初始化。
使用過程中的攻擊點
簽名授權中的釣魚陷阱
硬件錢包雖然能隔離私鑰，卻無法杜絕“盲簽”帶來的釣魚攻擊。所謂盲簽，就像在一張空白支票上簽字——用戶在未明確知曉交易內容的情況下，便對一串難以辨認的簽名請求或哈希數據進行了確認。這意味著，哪怕是在硬件錢包的保護下，用戶仍可能在毫無察覺的情況下，授權了一筆向陌生地址的轉賬，或執行了帶有惡意邏輯的智能。
盲簽攻擊常通過偽裝巧妙的釣魚頁面誘導用戶簽名，過去幾年中，黑客通過這類方式盜走了大量用戶資產。隨著DeFi、NFT等智能合約場景不斷擴展，簽名操作愈發復雜。應對之道，是選擇支持“所見即所簽”的硬件錢包，確保每筆交易信息都能在設備屏幕上清晰顯示并逐項確認。
來自“官方”的釣魚
攻擊者善于借勢行騙，尤其是打著“官方”的旗號。例如2022年4月，Trezor部分用戶收到了來自trezor[.]us域名的釣魚郵件，實際上Trezor官方域名為trezor[.]io，釣魚郵件中還傳播了如下域名：suite[.]tr?zor[.]com。
這個“?”看起來像正常英文字母，實際上是Punycode編碼，其真實域名為xn--trzor-o51b。
攻擊者還會借助真實的安全事件做文章，提升欺騙成功率。2020年，Ledger發生數據泄露事件，約有100萬個用戶郵箱泄露。攻擊者假冒其安全與合規部門，向用戶發送釣魚郵件，聲稱錢包需要升級或進行安全驗證，誘導用戶掃描二維碼跳轉至釣魚網站。
此外，有用戶收到偽造的Ledger Nano X錢包，以及帶有官方信頭的偽造信件，信中聲稱這是為響應數據泄露事件而更換的“更安全的新設備”。
實際上，這些“新設備”是被篡改過的Ledger，內部焊接了一個U盤，用于植入惡意程序。偽造的說明書會引導用戶將設備連接電腦，運行自動彈出的應用程序，并輸入原錢包的24個助記詞進行“遷移”或“恢復”。一旦輸入助記詞，數據便會被發送給攻擊者，資金隨即被盜。
中間人攻擊
想象你給朋友寄信，一個使壞的郵差在路上攔截，將信件內容悄悄篡改后再封回去。朋友收到信時毫不知情，以為那是你的原話。這就是中間人攻擊的本質。硬件錢包雖能將私鑰隔離，但完成交易時仍需通過手機或電腦上的錢包應用，以及USB、藍牙、二維碼等“傳話管道”。這些傳輸鏈路就像“看不見的郵差”，一旦其中任何環節被控制，攻擊者就能悄無聲息地篡改收款地址或偽造簽名信息。
OneKey團隊曾向Trezor和MetaMask報告了一個中間人攻擊漏洞：當MetaMask連接Trezor設備時，會立刻讀取設備內部的ETH公鑰，并在軟件端基于不同的派生路徑計算地址。此過程缺乏任何硬件確認或提示，給中間人攻擊留下了可乘之機。
如果本地惡意軟件控制了Trezor Bridge，就相當于通信鏈路出現了一個“壞郵差”，攻擊者可以攔截并篡改所有與硬件錢包的通信數據，導致軟件界面顯示的信息與硬件實際情況不符。一旦軟件驗證流程存在漏洞或用戶未仔細確認硬件信息，中間人攻擊便可能成功。
存放與備份
最后，存放與備份同樣重要。切勿將助記詞存儲或傳輸于任何聯網設備和平臺，包括備忘錄、相冊、收藏夾、傳輸助手、郵箱、云筆記等。此外，資產安全不僅要防范黑客攻擊，還需防范意外災害。雖然紙質備份相對安全，但如果保管不當，可能面臨火災或水浸等風險，導致資產難以恢復。
因此，建議將助記詞手寫在實體紙上，分散存放于多個安全地點。對于高價值資產，可考慮使用防火防水的金屬板。同時，定期檢查助記詞的存放環境，確保其安全且可用。
結語
硬件錢包作為資產保護的重要工具，其安全性還受限于用戶的使用方式。許多騙局并非直接攻破設備，而是披著“幫你更安全”的外衣，引誘用戶主動交出資產控制權。針對本文提及的多種風險場景，我們總結了以下建議：
通過官方渠道購買硬件錢包：非官方渠道購買的設備存在被篡改風險。
確保設備處于未激活狀態：官方出售的硬件錢包應為全新未激活狀態。如果開機后發現設備已被激活，或說明書提示“初始密碼”、“默認地址”等異常情況，請立即停止使用并反饋給官方。
關鍵操作應由本人完成：除設備激活環節外，設置PIN碼、生成綁定碼、創建地址及備份助記詞，均應由用戶親自完成。任何由第三方代為操作的環節，都存在風險。正常情況下，硬件錢包首次使用時，應至少連續三次全新創建錢包，記錄生成的助記詞和對應地址，確保每次結果均不重復。
標簽:
鄭重聲明：本文版權歸原作者所有，轉載文章僅為傳播更多信息之目的，如作者信息標記有誤，請第一時間聯系我們修改或刪除，多謝。
