背景

據合作夥伴 imToken 反饋，近期出現了一種新型的加密貨幣騙局。這種騙局一般以線下實物交易爲主要場景，採用 USDT 作爲付款方式，利用修改以太坊節點的 Remote Procedure Call(RPC) 進行欺詐活動。

作惡流程

慢霧安全團隊對這類騙局展開分析，騙子的具體作惡流程如下：

首先，騙子會誘導目標用戶下載正版的 imToken 錢包，並用 1 USDT 以及少量 ETH 爲誘餌來取得用戶的信任。然後，騙子會引導用戶將其 ETH 的 RPC 網址重定向到騙子自己的節點(https://rpc.tenderly.co/fork/34ce4192-e929-4e48-a02b-d96180f9f748)。

這個節點實際上已被騙子用 Tenderly 的 Fork 功能修改過，用戶的 USDT 餘額被造假，使其看起來就像騙子已經將款項打入用戶錢包一樣。於是，用戶看到餘額就會誤以爲已經到帳。但當用戶試圖轉入礦工費以變現帳戶中的 USDT 時，便會意識到自己上當了。而這時，騙子早已消聲匿跡。

實際上，除了餘額顯示可以被修改，Tenderly 的 Fork 功能甚至可以改合約信息，對用戶構成更大威脅。

(https://docs.tenderly.co/forks)

這裏就得提一個問題 —— RPC 是什麼？爲了與區塊鏈交互，我們需要通過合適的通用選項訪問網路服務器的方法，RPC 就是一種連接和交互的方式，使我們能夠訪問網路服務器並執行查看餘額、創建交易或與智能合約交互等操作。通過嵌入 RPC 功能，用戶能夠執行請求並與區塊鏈進行交互。例如，如果用戶通過連接錢包（如 imToken）使用去中心化交易所，其實就是在通過 RPC 與區塊鏈服務器進行通信。一般來說，所有類型的錢包默認都會連接到安全的節點，用戶無需進行任何調整。但是，若輕易相信他人，將錢包連結到不信任的節點，可能會導致錢包中顯示的餘額和交易信息被惡意修改，進而帶來財產損失。

MistTrack 分析

我們使用鏈上追蹤工具 MistTrack 對其中一個已知的受害者錢包地址(0x9a7…Ce4) 進行分析，可以看到該受害者地址收到了地址(0x4df…54b) 轉入的小額 1 USDT 和 0.002 ETH。

查看地址(0x4df…54b) 的資金情況，發現該地址分別轉出 1 USDT 到 3 個地址，看來這個地址目前已行騙三次。

再往上追溯，地址與多個交易平台關聯，同時與被 MistTrack 標記爲“Pig Butchering Scammer”的地址有交互。

總結

此類騙局的狡猾之處在於利用了用戶的心理弱點。用戶往往只關注其錢包中是否有款項到帳，而忽視了背後可能存在的風險。騙子正是利用這種信任和疏忽，通過一系列如轉帳小額資金等讓人信以爲真的操作，對用戶進行欺詐。因此，慢霧安全團隊建議廣大用戶在進行交易時，一定要保持警惕，提高自我保護意識，不要輕信他人，避免自身財產受損。

聲明：

1. 本文轉載自[慢霧科技]，原文標題“揭祕新型騙局：惡意修改 RPC 節點連結騙取資產”，著作權歸屬原作者[Lisa]，如對轉載有異議，請聯系Gate Learn團隊，團隊會根據相關流程盡速處理。

2. 免責聲明：本文所表達的觀點和意見僅代表作者個人觀點，不構成任何投資建議。

3. 文章其他語言版本由Gate Learn團隊翻譯， 在未提及Gate.io的情況下不得復制、傳播或抄襲經翻譯文章。