安全研究人员发现仿冒Trust Wallet网站，交易签名功能已禁用
TREE NEWS 报道， 一个仿冒知名加密货币钱包Trust Wallet的钓鱼网站trastwallet[.]cam被曝光。据安全研究人员Anurag披露，该网站以“审核转账”为由诱导用户连接钱包。其脚本支持Trust Wallet、Phantom等多个钱包，一旦用户连接，便会尝试诱骗用户签署交易，可能导致资产被盗。目前该网站的交易签名功能已被禁用，但威胁依然存在，尤其是对经验不足的用户。
攻击手法剖析
该钓鱼网站利用了用户对知名钱包品牌的信任。通过模仿Trust Wallet的官方界面并使用高度相似的域名，攻击者试图让用户误以为在与正规服务交互。“审核转账”的借口尤其狡猾，它让一个常规操作显得紧急且重要。一旦用户连接钱包，脚本便会发起交易签名请求，若用户批准，资产可能被转移至攻击者地址。这种“交易模拟”或“授权钓鱼”攻击在加密货币领域日益常见。
行业影响
这一事件凸显了加密货币生态系统中钓鱼风险的持续性。由于交易不可逆且地址具有假名性，一旦资产被盗，追回难度极大。钱包提供商和安全公司必须持续教育用户验证网址的重要性，并警告他们不要从未经验证的来源签署交易。此外，此类攻击的增多也表明需要改进钱包安全功能，例如交易模拟和对可疑请求的警告。随着DeFi和Web3的普及，攻击面不断扩大，恶意行为者也在精炼其社会工程学手段。
前瞻与建议
尽管该特定域名的直接威胁可能已被缓解，但钓鱼攻击的 broader 挑战依然存在。建议用户仔细核对网址，使用书签访问官方网站，并尽可能启用双因素认证。钱包开发者应考虑集成更强大的反钓鱼措施，如域名验证和实时交易分析。监管机构和行业组织也可以发挥作用，更迅速地取缔欺诈域名。从长远来看，用户教育、技术保障和协同执法相结合，对于保护不断增长的加密钱包用户群体至关重要。
