慢霧首席信息安全官：注意Telegram機器人私信釣魚風險

金色財經報道，據慢霧首席信息安全官23pds在社交媒體上發文表示，注意Telegram機器人私信釣魚風險。

最近我們發現Telegram機器人自動化私信釣魚，機器人會自動化私信用戶\"檢測到您的TG電報賬號異常系統會對您進行注銷，及時前往安全助手(@****)進行解除\"用戶如果不小心當真，回復真實信息將導致tg賬號被盜，請注意安全風險。

其它快訊：

慢霧余弦：非官方渠道購買的硬件錢包容易被動手腳，新設備首次使用時必須先激活:金色財經報道，慢霧創始人余弦在X平臺發文表示，此前我們收到幾起被盜反饋，大家務必注意下這類風險，非官方店鋪/渠道購買的硬件錢包容易被動手腳。如果你拿到一款硬件錢包，至少參考 imKey 的建議：

- PIN 碼由用戶設置，任何預創建 PIN 碼都存在欺詐風險；

- 新設備首次使用時必須先激活，必須創建并備份助記詞；反之，存在欺詐風險。[2024/1/15 20:18:07]

慢霧余弦：通過低交易費用惡意卡住銘文交易是可能的:金色財經報道，X平臺用戶@BTW0205發文表示存在一種惡意行為，買家發起超低Gas的交易購買銘文，使得短期內無法成交，上漲后加速交易，下跌后取消交易。

對此，慢霧創始人余弦表示，由于交易平臺使用的PSBT簽名機制，確實可以惡意霸占該筆交易一定時間。可以使用RBF加速交易成功，不會加速交易取消（取消的實際是成功前的那筆低Fee交易，但理論上最終會有個按賣家PSBT約定的成功交易）。[2023/12/16 19:14:14]

分析 | 慢霧發布TronBank “假幣攻擊”手法技術分析:TRC10 是 TRON 區塊鏈本身支持的技術代幣標準，沒有 TRON 虛擬機（TVM）。TRC10 提供了 2 個新參數：tokenValue、tokenId，msg.tokenvalue 表示當前 msg 調用中的標記值，默認值為 0。 msg.tokenid 表示當前 msg 調用中的標記 id，默認值為 0。tokenId 也是 Odyssey_v3.2 中的新功能。它可以在帳戶中名為 assetV2 的新地圖字段中找到。 使用 GetAccount（Account）獲取 tokenId 及其值。 TokenId 由系統從數字 1_000_001 開始設置。 創建新的 TRC10 代幣時，數字加 1 并設置此代幣的 ID。

TronBank 合約在 invest 函數內沒有判斷 msg.tokenid 導致任意的代幣(假幣)轉入，合約都以為是真幣 BTT。然后攻擊者再調用 withdraw 從合約中提取真幣 BTT。[2019/4/11]