慢雾余弦：非官方渠道购买的硬件钱包容易被动手脚，新设备首次使用时必须先激活

5月22日消息，硬件钱包imKey发布关于“警惕社会工程攻击骗局”的安全提醒，称近期发现有非官方店铺在京东、拼多多等线上商城出售“已激活”的imKey硬件钱包，此情况存在被社会工程攻击的可能，有较大欺诈风险。正常情况下，硬件钱包设备应为未激活状态，即首次使用imKey时，激活设备、创建钱包、备份助记词和设置PIN码均应由用户自行完成。通过进一步了解和调查，imKey发现部分非官方店铺在售卖“已激活”硬件钱包的同时，篡改使用说明书，诱骗用户将资金存入被作恶商家提前创建的钱包地址中。imKey已联系各平台官方客服反馈此情况，并积极协助警方调查此类事件。

金色财经报道，慢雾创始人余弦在社交媒体上发文提醒公众，要谨慎使用与 friend.tech 相关的工具，尤其是那些直接请求私钥或要求用户通过 friend.tech 账号（如手机号）和独立密码（friend.tech 的 2FA）登录的工具。他警告称，这些服务后台可以通过反向代理与 friend.tech 交互，从而有可能操纵用户资金。 余弦强调，这种风险与 friend.tech 本身无关，而是中心化服务普遍存在的问题。他还提到，这种高级钓鱼手法在 Web2 时代已经十分普遍，在 Web3 时代仍然有效。

金色财经报道，慢雾创始人余弦在社交媒体上表示，前几天有人玩Atomicals资产ATOM被盗，原因是因为一些人在推特大力宣传使用Replit这个在线编程平台来运行atomicals-js方便自动化做Atomicals资产相关操作。 Replit本身看似没问题，这种宣传看似也没什么问题，但问题出在Replit平台的公开性及玩家的安全意识匮乏，你用的atomicals-js任何人都可以看到，包括你在其中配置的助记词/私钥/地址等信息。 于是通过简单的Google Hacking等技巧就可以发现这些泄露，导致资产被盗。需要注意的是，自动化平台或工具确实方便，使用时务必有能力驾驭。这里影响的不仅是一些玩家的Atomicals资产，我们还看到了其他链的铭文资产。

金色财经报道，慢雾创始人余弦在社交媒体上表示，Twitter这个严重漏洞看起来很严重，需要警惕，你如果点击了黑客准备的链接，黑客就能完全访问你的Twitter账户，可以发推、转发、点赞、屏蔽等等，但无法更改用户密码。 看上去类似CSRF这类问题，也许还结合了OAuth2认证授权。目前没任何细节，等官方修复，等后续披露。

2月8日消息，慢雾创始人余弦发文称，OpenSea Trending里的NFT项目AZKI BOX是骗局，如果用户被诱骗打开了其中的网站，可能会被盗走相关加密资产。

金色财经报道，慢雾创始人余弦在 X 平台发文表示，“新机制肯定会带来新的安全风险，如果一个协议没处理好 ERC404 这种硬币双面机制就可能带来意想不到的后果。还有需要注意的是，ERC404 还不是个成熟的标准，看了几个项目的合约代码，多少会有一些改造，所以这也是可能的风险，差异导致的安全风险。”