釣魚攻擊產業化：揭祕加密世界的 Scam-as-a-Service 生態

2024年第三季度，釣魚攻擊已成爲造成最多經濟損失的攻擊手段，65次攻擊行動中獲取超過2.43億美元。安全團隊分析認爲，近期頻繁爆發的釣魚攻擊可能與臭名昭著的釣魚工具團隊Inferno Drainer有關。該團隊曾在2023年底宣布"退休"，但如今似乎再次活躍，制造了一系列大規模攻擊。

本文將分析網絡釣魚攻擊團夥的典型作案手法，並詳細列舉其行爲特徵，以幫助用戶提高對網絡釣魚詐騙的識別和防範能力。

Scam-as-a-Service概念

在加密世界中，釣魚團隊發明了一種新的惡意模式，稱爲Scam-as-a-Service（詐騙即服務）。這一模式將詐騙工具和服務打包，以商品化的方式提供給其他犯罪分子。Inferno Drainer是這一領域的典型代表，在2022年11月至2023年11月期間，其詐騙金額超過8000萬美元。

Inferno Drainer向買家提供現成的釣魚工具和基礎設施，包括釣魚網站前後端、智能合約以及社交媒體帳戶，幫助他們快速發起攻擊。購買服務的釣魚者保留大部分贓款，而Inferno Drainer收取10%-20%的佣金。這一模式大大降低了詐騙的技術門檻，使網路犯罪變得更加高效和規模化，導致釣魚攻擊在加密行業內泛濫。

Scam-as-a-Service運作機制

釣魚攻擊者通過設計惡意的前端界面和智能合約，巧妙地誘導用戶執行不安全的操作。他們通常引導用戶點擊惡意連結或按鈕，欺騙用戶批準隱藏的惡意交易，甚至直接誘騙用戶泄露私鑰。一旦用戶簽署了這些惡意交易或暴露了私鑰，攻擊者就能輕鬆地將用戶的資產轉移到自己的帳戶中。

常見的釣魚手段包括：

1. 僞造知名項目前端：攻擊者精心模仿知名項目的官方網站，創建看似合法的前端界面。

2. 代幣空投騙局：在社交媒體上宣傳"免費空投"、"早期預售"、"免費鑄造NFT"等機會，引誘受害者點擊連結。

3. 虛假黑客事件與獎勵騙局：宣稱某知名項目遭遇黑客攻擊或資產凍結，正向用戶發放補償或獎勵。

Inferno Drainer的分贓機制

Inferno Drainer通過CREATE2創建分贓合約，利用Permit2轉移受害者代幣，並完成與買家的分贓。在一個典型案例中，買家獲得82.5%的贓款，而Inferno Drainer保留17.5%。

創建釣魚網站的簡單步驟

在Scam-as-a-Service的幫助下，攻擊者可以輕鬆創建釣魚網站：

1. 進入提供服務的通訊頻道，使用簡單命令創建免費域名和IP地址。
2. 從提供的模板中選擇一個，進行快速安裝。
3. 等待受害者進入網站並連接錢包。

整個過程僅需幾分鍾，大大降低了攻擊者的技術門檻。

防範建議

爲防範此類攻擊，用戶應：

• 不要相信任何"天上掉餡餅"的宣傳。
• 在連接錢包前仔細檢查URL，警惕模仿知名項目的網站。
• 保護好助記詞和私鑰，謹慎籤名和批準交易。
• 關注安全機構發布的預警信息，及時採取防護措施。

釣魚攻擊的產業化趨勢凸顯了加密世界面臨的安全挑戰。用戶需保持高度警惕，項目方也應加強安全措施，共同維護加密生態的健康發展。