imToken安全团队发布风险预警，警惕三类针对加密钱包的新型安全威胁

近日，imToken安全团队发布加密钱包安全风险预警，提醒广大加密货币持有者警惕三类针对加密钱包的新型安全威胁，这类新型威胁或对用户的钱包资产安全、个人隐私安全构成潜在风险，团队呼吁用户提升安全防范意识，妥善保管私钥等敏感信息，切勿随意点击不明链接、授权未知第三方应用，定期排查钱包安全隐患，避免遭受新型加密钱包攻击与诈骗。

作为全球用户规模领先的去中心化加密货币钱包,imToken始终将用户资产安全作为产品迭代的核心底线，2024年以来，随着加密行业的回暖，针对数字钱包的诈骗活动也呈现出抬头趋势，且诈骗手段愈发隐蔽、专业化，imToken安全团队发布季度安全风险预警，通报了三类针对用户钱包的新型安全威胁，并同步推出多项防护升级措施，提醒全球用户提高警惕，筑牢数字资产安全防线。

近期监测到的三类核心安全威胁

据imToken安全团队统计,2024年第二季度全球范围内与imToken相关的诈骗报案量同比上升37%，其中三类新型威胁成为用户资产损失的主要源头，且诈骗者的作案逻辑更贴合用户的使用习惯，隐蔽性极强。

高仿钓鱼链接与伪装APP：精准瞄准新手用户

近期团队监测到大量仿冒imToken官方渠道的钓鱼站点与伪装APP,诈骗者通过模仿官方界面、制造“官方升级”“空投福利”等噱头，诱导用户泄露助记词、私钥等核心凭证，其中最典型的作案手法包括：

• 域名仿冒：诈骗者注册与官方域名高度相似的网址，比如imtoken-official.com、imtoken-updates.net等，仅通过细微的字母差异混淆用户，页面完全复刻imToken官网的登录、钱包导入界面，用户输入助记词后，信息会直接同步至诈骗者服务器。
• 社交平台伪装：在Twitter、Telegram、小红书等平台发布“imToken 2.0版本升级领100USDT空投”“官方客服协助找回丢失资产”等虚假内容，附带的链接直接跳转钓鱼站点，部分诈骗者还会冒充官方账号，通过私信向用户发送“验证身份需要助记词”的诱导信息。
• 第三方应用商店伪装：诈骗者将伪装后的imToken APK上传至非正规应用商店，APP图标、名称与官方版本完全一致，仅在权限申请中暗藏恶意代码，用户安装后会偷偷读取手机存储中的钱包备份文件，甚至远程操控设备导出助记词。

恶意合约与钓鱼空投：利用授权漏洞掏空资产

除了直接窃取凭证的诈骗手段,近期出现的恶意合约诈骗更具迷惑性，往往依托当前热门的空投、NFT mint活动实施攻击，这类诈骗的核心逻辑是利用去中心化应用的授权机制：

• 虚假空投代币：诈骗者发行名为“imToken官方空投”的ERC-20代币，在社交平台大肆宣传，诱导用户点击链接进入DApp页面，用户点击“领取空投”时，会触发合约的授权请求，诈骗者会将授权描述伪装为“领取空投所需的权限”，用户点击确认后，合约会自动获取用户钱包的资产转移权限，随后将用户钱包内的USDT、ETH等主流代币全部转至攻击者地址。
• 仿冒NFT mint链接：针对近期热门的NFT市场，诈骗者制作仿冒的官方NFT mint页面，声称“imToken专属NFT免费领取”，用户连接钱包后，合约会要求授权转移全部NFT资产，部分用户因不熟悉权限规则直接确认，导致持有的NFT被恶意转走。
• 伪造交易确认页：诈骗者通过钓鱼链接诱导用户进入伪造的交易确认页面，页面显示“转账失败，请重新输入密码”，诱导用户再次输入钱包密码，从而获取私钥相关信息，最终完成资产转移。

社交工程诈骗升级：冒充官方客服精准收割

相较于技术层面的诈骗,社交工程类诈骗更难防范，诈骗者会通过伪装身份、利用用户的焦虑心理实施攻击，近期团队接到多起用户报案，诈骗者冒充imToken官方客服，通过以下套路实施诈骗：

• 先通过用户的钱包地址查询到用户的资产情况,随后发送私信称“检测到您的钱包存在异常转账，需要验证身份以冻结风险账户”；
• 伪造官方客服的头像与昵称,发送带有“imToken安全中心”水印的文件，要求用户上传助记词照片或输入私钥完成“身份验证”；
• 部分诈骗者会建立虚假的Telegram群组,在群内发布“官方安全培训”内容，诱导用户加入后，由群内的“客服”索要助记词，甚至会通过群内的其他成员伪装成受害者，制造“已经成功找回资产”的假象，进一步打消用户的警惕心理。

imToken安全团队的应急响应与防护升级

针对上述新型安全威胁,imToken安全团队第一时间启动应急响应机制，从技术防护、信息预警、用户援助三个维度推出多项升级措施，全力保障用户资产安全。

技术层面：构建多层威胁拦截体系

imToken团队联合慢雾科技、CertiK等全球顶尖区块链安全厂商，对钱包的安全检测模块进行全面升级：

• 新增钓鱼域名实时拦截系统：通过共享全球威胁情报库，对用户访问的链接进行实时校验，一旦检测到钓鱼站点，会在用户点击时直接弹出安全预警，阻止用户进入；
• 优化智能合约风险检测：在钱包内置的DApp浏览器中新增合约风险扫描功能，用户连接陌生合约时，系统会自动检测合约代码是否存在恶意转移权限、异常转账逻辑等风险，并在页面顶部展示风险等级提示；
• 强化应用签名校验：针对移动端APP，新增多层签名校验机制，只有通过官方签名的安装包才能正常运行，拦截伪装后的恶意APP，同时与苹果、谷歌的应用商店安全团队合作，上报恶意应用并推动下架。

信息层面：多渠道同步安全预警

为了让用户第一时间获取安全信息,imToken团队升级了安全预警体系：

• 在APP内新增安全中心模块，每日更新全球加密诈骗动态，用户可以直接查看近期的诈骗案例与防范指南；
• 通过官方Twitter、Telegram、微信公众号等多平台同步发布预警信息，同时针对活跃用户推送个性化的安全提醒；
• 制作系列防诈骗科普视频,在B站、抖音等平台发布，用通俗易懂的语言讲解助记词保护、合约授权等核心安全知识，覆盖更多新手用户。

用户援助：建立快速响应通道

针对已经遭遇诈骗的用户,imToken团队开通了安全援助专属通道：用户可以通过APP内的“帮助中心”提交诈骗工单，安全团队会第一时间协助用户排查资产风险，提供资产追踪建议，同时联合区块链安全机构协助用户向执法部门报案，截至2024年6月，该通道已协助超过200名用户追回部分损失资产，成功率达18%。

用户侧安全防护指南：筑牢资产安全防线

尽管imToken团队已经构建了完善的防护体系,但用户自身的安全意识仍是防范诈骗的核心防线，结合近期的诈骗案例，imToken安全团队总结了五大防护要点，帮助用户远离安全威胁：

严格验证官方渠道，拒绝陌生链接

imToken官方唯一官网为token.im，官方APP仅可通过苹果App Store、谷歌Play、华为应用市场等正规应用商店下载，中国大陆用户可通过imToken官方网站的下载页面获取安装包，任何通过第三方论坛、私信链接发送的下载链接都需要警惕，遇到“官方升级”“福利活动”等信息时，务必通过imToken官方渠道核实真实性。

绝不泄露助记词与私钥，牢记“官方永不索要”

助记词是恢复钱包的唯一凭证,imToken官方团队、客服人员绝不会以任何理由索要用户的助记词、私钥、钱包密码等信息，如果收到任何要求提供这些信息的请求，无论对方声称的身份是什么，都可以直接判定为诈骗，用户需要将助记词离线存储在纸质介质中，避免上传至云端或分享给他人。

谨慎对待合约授权，仔细查看权限规则

在使用去中心化应用时,用户需要仔细查看合约的授权请求：不要轻易授权“无限额度”的资产转移权限，对于陌生合约，可以通过imToken内置的合约风险扫描功能查询其历史交易记录与代码审计报告，如果不确定授权的安全性，可以选择“拒绝”，或通过imToken的“权限管理”功能取消已授权的合约。

开启多重安全防护，强化账户安全

用户可以在imToken中开启指纹/面部识别登录、交易密码、2FA双重验证等功能，进一步提升账户的安全性，建议开启钱包的“异常交易提醒”功能，当钱包发生大额转账时，会通过短信、邮件等方式收到提醒，及时发现异常操作。

警惕社交工程诈骗，不被焦虑心理左右

面对“资产异常”“协助找回损失”等诱导信息时，用户需要保持冷静：首先通过官方渠道核实信息的真实性，不要轻信陌生私信中的“客服”身份，不要加入非官方的Telegram、Discord群组，避免被诈骗者的话术误导，如果不确定信息的真实性，可以联系imToken官方客服进行确认。

行业视角：共建安全的加密生态

加密钱包的安全问题不仅是单个产品的责任,更是整个加密行业需要共同面对的挑战，imToken安全团队负责人表示：“我们将持续投入安全研发力量，与全球区块链安全机构、执法部门合作，共同打击加密诈骗行为，我们也呼吁行业伙伴加强安全信息共享，提升用户的安全意识，共同构建健康、安全的加密生态。”

随着加密行业的不断发展,诈骗手段也在不断更新迭代，用户需要持续学习安全知识，保持警惕心理，才能更好地保护自己的数字资产，imToken团队也将持续更新安全预警信息，为用户提供最及时的防护支持，让每一位用户都能安心使用去中心化钱包，享受加密技术带来的价值。