TokenPocket仿真伪太猖狂，老审计教你三招避坑

导读： tokenpocket仿真伪TokenPocket最近的仿冒版本泛滥的情况是比较严重的, 有不少人下了那个所谓的“假钱包”, 结果资产直接被掏空。我在链上安全审计这一领域已经工作了长达五年的时间...

TokenPocket最近的仿冒版本泛滥的情况是比较严重的, 有不少人下了那个所谓的“假钱包”, 结果资产直接被掏空。

我在链上安全审计这一领域已经工作了长达五年的时间, 现在我来具体说明一些能够加以辨别的实际窍门。

大多数情况下, 最常见的做法就是在应用商店里上架同一个名字的APK安装包。这个安装包的图标和界面设计都和正版的大致相同, 基本上看不出什么区别, 唯一不一样的地方就是它的包名不同。

在去年, 我曾经协助一位用户进行问题排查。该用户下载的是"TokenPocket Lite"。由于私钥被以明文方式窃取, 导致其账户中的三万U在两天之内全部损失殆尽。

还有着一个非常坑人的地方, 那就是去搞那些仿冒官网的行为。

在搜索TokenPocket排名第一位的结果当中, 很可能出现的是钓鱼网站, 该网站所使用的域名从外观上看与原域名相似, 实际上却属于一种变体。

我通常会去查询网站的注册时间, 因为这些假冒的网站往往存活不了多久, 一般撑不过三个月。

另外还有一个细节是, 正版软件会提醒你去核对合约地址, 而仿冒版本则会把充值地址改成它自己的账户。

转账前多花十秒看一眼，能省好几万学费。