警惕！im冷钱包被授权，你的数字资产正面临隐秘风险

导读： 近期需警惕im冷钱包被恶意授权的隐秘数字资产风险，im冷钱包本应是数字资产的安全存储方式，但一旦被钓鱼链接、恶意dApp诱导完成授权，攻击者可通过链上合约调用悄悄转移绑定资产，且该过程往往无明显异常提示，极具隐蔽性，不少用户因对钱包授权机制不熟悉，误操作授权陌生应用，给了攻击者可乘之机，用户需及时排...

近期需警惕im冷钱包被恶意授权的隐秘数字资产风险，im冷钱包本应是数字资产的安全存储方式，但一旦被钓鱼链接、恶意dApp诱导完成授权，攻击者可通过链上合约调用悄悄转移绑定资产，且该过程往往无明显异常提示，极具隐蔽性，不少用户因对钱包授权机制不熟悉，误操作授权陌生应用，给了攻击者可乘之机，用户需及时排查钱包授权列表，关闭非必要权限，切勿随意点击陌生链接、授权未知第三方，筑牢资产安全防线。

近期加密货币市场行情起伏不定，不少用户开始重新调整大额数字资产的存储方案，作为国内加密钱包用户群体中普及率较高的去中心化钱包，imToken的冷钱包方案凭借离线存储、私钥全程不触网的核心特性，成为众多用户安全存储资产的首选，但近期不少用户反馈遭遇了“imToken冷钱包被非法授权”的安全事件：部分用户在私钥完全未泄露的情况下，账户内的代币竟被莫名转移，究竟什么是“imToken冷钱包被非法授权”？这类隐蔽的风险又该如何防范？

先理清两个核心概念

1. imToken冷钱包是什么 imToken的冷钱包主要分为两类：一类是离线助记词钱包，用户将助记词存储在未联网的实体介质中，比如离线U盘、纸质手写笔记，交易时仅在离线设备上生成签名，再导入联网设备完成交易广播；另一类是硬件钱包，如imToken官方推出的imKey硬件钱包，通过蓝牙与手机/电脑连接，每次交易签名都需要用户在硬件设备上手动确认，私钥全程不会脱离硬件存储区域，从根源上规避了私钥被网络爬虫、木马窃取的风险。
2. 钱包授权是什么 加密钱包的授权，本质是用户通过签名操作，允许第三方合约、DApp在指定额度内转移自己的代币，比如参与DeFi挖矿、借贷、NFT交易时，通常需要先授权合约转移USDT作为抵押或参与流动性池，正常授权是用户主动发起的合规操作，但如果出现“非法授权”，则是指用户在不知情的情况下，被诱导或恶意程序操控完成了授权,攻击者可借此绕过私钥泄露的限制转移资产。

imToken冷钱包被非法授权的常见风险场景

不少用户存在认知误区，认为冷钱包私钥不联网就绝对安全，不会遭遇授权风险,但实际上有三类高频场景会导致冷钱包的授权权限被恶意滥用：

1. 误操作无限授权 不少用户为了省去多次授权的麻烦，在参与DeFi交互时会直接点击“无限授权”选项，这相当于给合约开放了无上限的资产转移权限，即便资产存储在冷钱包中，一旦后续硬件钱包被恶意程序劫持，或是用户不慎将助记词导入联网设备，攻击者就能通过已生效的无限授权，悄无声息地转移账户内的所有代币，此前就有用户因在Uniswap交互时误点无限授权，后续手机被植入木马后,10万USDT被全额转走。
2. 钓鱼链接诱导授权 不法分子通过仿冒imToken官方页面、发送钓鱼短信/微信群聊链接，诱导用户点击后进入高度模仿官方的伪造授权页面，要求用户输入助记词或确认授权，这类钓鱼链接往往伪装成官方客服通知、DeFi项目空投福利，页面界面和官方应用几乎一致，用户一旦输入助记词或点击授权确认，攻击者就能直接获取钱包控制权,哪怕是冷钱包的资产也能被轻易转移。
3. 联网设备被恶意植入木马 如果用户将硬件钱包连接到被木马、病毒感染的手机或电脑，恶意程序会在后台静默监听钱包与设备的蓝牙连接数据，伪装成正常的交易提示弹窗诱导用户确认，当用户发起交易授权时，木马会篡改弹窗内容，诱导用户确认伪造的授权请求，从而在用户不知情的情况下完成资产转移，近期就有上海的用户反馈：自己用imKey连接手机参与以太坊流动性挖矿后，账户内的5000美元USDT被莫名转移，经技术排查,手机此前已被植入了监听硬件钱包签名的木马程序。

如何规避imToken冷钱包被非法授权的风险

针对以上三类高频风险,我们可以通过以下5个步骤筑牢安全防线：

1. 严格隔离冷钱包与联网设备 离线助记词钱包的存储介质要单独存放，绝对不要连接任何联网设备，交易签名仅在完全离线的手机、平板或专用终端上完成；硬件钱包仅在官方认证的、未被root/越狱的手机或电脑上连接，绝不使用公共WiFi或陌生公共设备进行任何与钱包相关的操作，防止数据被窃取，同时不要将硬件钱包与手机放在同一处,避免设备丢失后连带泄露助记词。
2. 定期清理不必要的授权 imToken的权限管理入口位于【我的】-【设置】-【钱包管理】-【授权管理】中，建议用户每周查看一次授权列表，对于不再使用的DeFi合约、NFT市场合约，直接取消授权；对于必须使用的授权，尽量设置小额额度，避免设置无上限的无限授权,从源头降低风险。
3. 警惕钓鱼信息与陌生链接 官方imToken的唯一正规渠道为：官网token.im、苹果App Store、华为应用市场等正规应用商店下载的imToken应用，绝不会通过短信、微信、QQ等社交渠道发送“授权升级”“资产异常”等诱导点击链接的消息，遇到此类信息时，可直接打开官方imToken应用查看账户状态，或联系官方客服核实,切勿随意点击陌生链接。
4. 开启硬件钱包的多重验证 以imKey为例，首次使用时需设置6位PIN码，后续每次连接手机进行交易签名时

   相关阅读：

   1、深入了解，imToken 怎么买卖

   2、imtoken苹果版下载-imtoken钱包被骗

   3、im钱包苹果下载-imtoken钱包怎么查看记录

   4、imtoken苹果版下载-imtoken钱包地址在哪

   5、imtoken钱包安卓下载-imToken上的能量宝