近日，知名去中心化钱包TokenPocket遭遇钓鱼攻击，导致部分用户数字资产被盗，这一事件引发行业对去中心化钱包安全问题的高度关注，作为用户管理数字资产的核心工具，TokenPocket此次遭钓鱼攻击的情况，再次为整个去中心化钱包行业的安全防护体系敲响警钟，暴露了行业在钓鱼攻击预警、用户安全引导等方面的短板，也提醒用户需强化安全甄别意识，推动行业完善安全保障机制。
作为国内较早布局的头部去中心化加密货币钱包,TokenPocket（简称TP钱包）凭借便捷的多链资产管理功能、丰富的DApp生态，累计吸引了全球数百万加密货币用户的信赖，2024年3月以来，围绕该钱包的“安全风波”持续发酵——多名用户先后在慢雾安全、派盾预警等区块链安全平台，微博、Twitter等社交媒体，以及TP钱包官方社群集中反馈：其钱包内的加密资产在未主动操作、未点击陌生链接的情况下出现异常转出，涉及BTC、ETH、SOL等主流代币，单用户被盗金额最高超50万元，引发全网对去中心化钱包安全的热议。
据用户披露的细节,此次被盗事件的核心诱因均指向钱包内置的DApp浏览器场景：用户在浏览TP钱包内嵌的DApp时，遭遇了与正规项目页面高度仿真的钓鱼DApp，页面上的“领取空投”“参与流动性挖矿”等诱导操作，实则内嵌了恶意合约，用户一旦点击签署授权，就会将钱包的私钥签名权限临时授予该钓鱼合约，攻击者随即通过该权限触发资产转移逻辑，转走钱包内的所有可支配资产。
事件爆发后,TokenPocket官方第一时间发布《关于近期用户资产被盗事件的调查进展公告》回应，初步调查结果显示：此次事件并非TP钱包核心代码存在漏洞，而是部分用户在使用DApp功能时，未对合约地址和授权权限进行仔细核实，遭遇了第三方钓鱼合约的攻击，官方同时指出，已协助数十名遭遇被盗的用户向其所在地公安机关报案，并联合慢雾、派盾等区块链安全机构追踪可疑资金流向，目前已冻结部分涉案地址的资产。
去中心化钱包的“不可托管”属性，也让用户的资产追回面临较大难度，与中心化交易所不同，TP钱包作为非托管钱包，用户掌握私钥的绝对控制权，官方无法直接冻结用户钱包内的资产，只能通过协助警方调查、调取链上交易数据、追踪可疑资金流向等方式提供技术支持，这也让不少被盗用户的维权之路显得漫长而曲折。
此次事件也暴露了去中心化钱包生态的共性安全痛点：其一，钱包平台对内置DApp的审核仍存在疏漏，钓鱼DApp可通过页面样式、域名伪装等手段绕过初步筛选；其二，用户的安全意识不足，对DApp授权的风险认知不到位，往往因贪图小利而签署恶意合约，这也是此次被盗事件的重要诱因之一。
针对此次事件暴露出的安全短板,TokenPocket官方已迅速升级多项安全措施：一是在DApp浏览页面增加了“合约风险等级”实时提示，对高风险合约进行弹窗预警，并标注具体风险类型；二是优化了授权功能，用户签署授权时会明确显示权限范围和有效期，从技术层面避免“无限授权”的风险；三是推出了“用户安全课堂”专栏，通过图文、短视频等形式，详细讲解钓鱼DApp的识别方法和资产保管技巧，帮助用户提升安全认知。
对于广大加密货币用户而言,此次事件也敲响了安全警钟：使用去中心化钱包时，务必通过官方渠道下载钱包客户端，不要随意点击陌生链接或扫描二维码；参与DApp活动时，务必通过Etherscan、Solscan等区块链浏览器核实合约地址的真实性，避免签署“无限授权”类的权限；助记词和私钥需离线加密保管，切勿泄露给任何第三方，包括钱包客服人员。
加密货币行业的发展始终与安全相伴相生,TokenPocket此次遭遇的安全风波，既是对用户安全意识的一次深刻考验，也对钱包平台的生态治理能力、安全防护水平提出了更高要求，唯有平台持续强化生态准入审核、优化安全机制，用户不断提升风险认知与安全操作习惯，才能共同构建起更可靠的加密资产安全防线，推动行业向更规范、更安全的方向稳步发展。
相关阅读：