上月底，Defiance Capita創辦人 Arthur Cheong (Arthur_0x) 錢包遭駭，許多高價 NFT、數字貨幣遭竊，價值超過 160 萬美元。Arthur 在個人社交媒體平台上發表了對防騙的觀點。
起初，以下內容僅寫給我們的投資組合公司和合作夥伴。一番思考過後，我認為應該將它們開源。
經過研究和與頂尖網絡安全專家的溝通，我們相信黑客組織 BlueNorOff 正在進行一個有組織的籌謀，目標是加密領域的所有知名組織。
鑑於他們的社會工程攻擊十分高明，我相信他們已繪製了整個加密領域的關係圖，知道什麼樣的釣魚郵件最有可能通過我們的心理防線。
要想進一步了解這種攻擊是如何進行的，我強烈建議閱讀這篇文章，其中的建議也值得採納。
關鍵我們要高度意識到，加密行業正在成為一個受國家支助的網絡犯罪組織的積極目標。這個組織非常機智和老練，他們甚至可能在未來變換工具和攻擊模式。
一旦目前的攻擊方法變得不那麼有效，例如最近出現的木馬化 DeFi App 和錢包攻擊。為了成功，朝鮮很可能會為該組織投入更多資源，從而擴大攻擊的強度。
拋開所有標標準準的網絡安全建議不談，在網絡安全意識強的朋友的協助下，我提出了以下這些不完全的加密相關安全建議。希望這將防止類似事件發生在我們任何人身上。
一個硬件錢包不足以保障 EOA（Externally owned account），因為他們可以插入一個虛假的Metamask 瀏覽器擴展，從而批准非預期的交易。至少它應該是一個 Gnosis Safe 這樣由幾個硬件錢包保障的多簽錢包。
我強烈推薦使用 Fireblocks、Copper、Qredo 等更高級別的託管解決方案，因為它們自帶用於交易審批的原生多簽 2FA（雙重認證） 錢包。
招聘遠程團隊要進行額外的盡職調查，尤其是僱傭軟件工程師或開發人員。「Lazarus APT 集團甚至參與創建開發加密貨幣軟件的虛假公司。」
我們從我們的一個投資組合公司那聽說，他們軟件工程師職位的申請人面試時很可疑，也與他們簡歷中的樣貌不相符。
雖然不是針對加密，但也重要到要提個醒。雲存儲、電子郵件、Telegram 等消息應用程序都應該開啟 2FA 登錄。請用 Google 身份驗證代替短信 2FA。
應盡可能使用 YubiKey 這樣的硬件 2FA 錢包，公司和個人賬戶都是。
Token 授權允許另一方移動你的資產，是與大多數智能合約交互的必要條件。避免無限制的 Token 授權，並定期撤銷不必要的授權，這可以用 Revoke 做到。
內部的加密貨幣錢包地址應該被密切監控，以便在未經授權的交易發生時，團隊可以立即察覺並儘快採取行動。Etherscan 和 Nansen 都提供這樣的解決方案。
任何瀏覽器欄下方的內容都可能是不安全的，是潛在的攻擊媒介。如果你沒有登錄，一些 DApp 可能會彈出一個窗口，要求你登錄到你的加密錢包。切勿輸入密碼。
