当前位置：首页 > 钱包知识 > Web3避坑指南

Web3 安全入门避坑指南（钱包被恶意多签风险分析）

2025-02-10 13:34:51 | 来源： | 作者：佚名
本期我们将以 TRON 钱包为例，讲解多签钓鱼的相关知识，包括多签机制、黑客的常规操作及如何避免钱包被恶意多签等内容

背景

在上一期 Web3 安全入门避坑指南中，我们主要讲解下载/购买钱包时的风险，找到真官网和验证钱包真伪的方法，以及私钥/助记词的泄露风险。我们常说 “Not your keys, not your coins”，但也存在即使你有私钥/助记词，也无法控制自己资产的情况，即钱包被恶意多签了。结合我们收集到的 MistTrack 被盗表单，一些用户的钱包被恶意多签后，不明白为什么自己钱包账户里还有余额，却无法把资金转出。因此，本期我们将以 TRON 钱包为例，讲解多签钓鱼的相关知识，包括多签机制、黑客的常规操作及如何避免钱包被恶意多签等内容。

多签机制

我们先简单解释下什么是多签，多签机制的本意是为了使得钱包更安全，允许多个用户共同管理和控制同一个数字资产钱包的访问和使用权限。尽管部分管理者丢失或泄露了私钥/助记词，钱包里的资产也不一定会受损。

TRON 的多重签名权限系统设计了三种不同的权限：Owner、Witness 和 Active，每种权限都有特定的功能和用途。

Owner 权限

  • 拥有执行所有合约和操作的最高权限；
  • 只有拥有该权限才能修改其他权限，包括添加或移除其他签名者；
  • 创建新账户后，默认为账户本体拥有该权限。

Witness 权限

这个权限主要与超级代表(Super Representatives) 相关，拥有该权限的账户能够参与超级代表的选举和投票，管理与超级代表相关的操作。

Active 权限

用于日常操作，例如转账和调用智能合约。这个权限可以由 Owner 权限设定和修改，常用于分配给需要执行特定任务的账户，它是若干授权操作（比如 TRX 转账、质押资产）的一个集合。

上文中提到，新建账户时，该账户的地址会默认拥有 Owner 权限（最高权限），可以调整账户的权限结构，选择将该账户的权限授权给哪些地址，规定这些地址所占权重的大小，以及设置阈值。阈值是指需要签名方权重到达多少才能执行特定操作。在下图中，阈值设置为 2，3 个被授权地址的权重都为 1，那么在执行特定操作时，只要有 2 个签名方的确认，这个操作就可以生效。

(https://support.tronscan.org/hc/article_attachments/29939335264665)

恶意多签的过程

黑客获取用户私钥/助记词后，如果用户没有使用多签机制（即该钱包账户仅由用户一人控制），黑客便可以将 Owner/Active 权限也授权给自己的地址或者将用户的 Owner/Active 权限转移给自己，黑客的这两种操作通常都被大家称为恶意多签，但其实这是一个广义的说法，实际上，可以根据用户是否还拥有 Owner/Active 权限来区分：

利用多签机制

下图中，用户的 Owner/Active 权限未被移除，黑客给自己的地址授权了 Owner/Active 权限，此时账户由用户和黑客共同控制（阈值为 2），用户地址和黑客地址的权重都为 1。用户虽然持有私钥/助记词，也有 Owner/Active 权限，但无法转移自己的资产，因为用户发起转出资产请求时，需要用户和黑客的地址都签名，这个操作才能正常执行。

虽然被多签的账户执行转出资产的操作需要多方签名的确认才可以实现，但是向钱包账户入账是不需要多方签名的。如果用户没有定期检查账户权限情况的习惯或者近期没有转出操作的话，一般不会发现自己钱包账户的授权被更改，那么便持续受损。如果钱包内的资产不多，黑客可能会放长线钓大鱼，等待该账户积累了一定数字资产后，再一次性盗取所有数字资产。

利用TRON的权限管理设计机制

还有一种情况是黑客利用 TRON 的权限管理设计机制，直接将用户的 Owner/Active 权限转移给黑客地址（阈值仍为 1），使得用户失去 Owner/Active 权限，连“投票权”都没有了。需注意，此处黑客并不是利用多签机制使得用户无法转移资产，但大家习惯上称这种情况也为钱包被恶意多签。

以上两种情况造成的结果是一样的，无论用户是否还拥有 Owner/Active 权限，都失去了对该账户的实际控制权，黑客地址获得了账户的最高权限，可实现更改账户权限、转移资产等操作。

恶意多签的途径

结合 MistTrack 收集到的被盗表单，我们总结出了几种钱包被恶意多签的常见原因，希望用户遇到以下几种情况时，提高警惕：

1. 在下载钱包时，未能找到正确的途径，点击了电报、推特、网友发送的假官网链接，下载到假钱包，结果私钥/助记词泄露，钱包被恶意多签。

2. 用户在一些出售加油卡、礼品卡、VPN 服务的钓鱼充值网站输入了私钥/助记词，结果失去自己钱包账户的控制权。

3. OTC 交易时，被有心之人拍到私钥/助记词或以某手段获取账户的授权，随后钱包被恶意多签，资产受损。

4. 一些骗子把私钥/助记词提供给你，称他无法提取钱包账户里的资产，如果你能帮忙的话可以给你酬劳。虽然这个私钥/助记词对应的钱包地址确实存在资金，但无论你给多少手续费、手速多快都提不走，因为提币权限被骗子配置给了另一个地址。

5. 还有一种较为少见的情况是用户在 TRON 上点击了钓鱼链接，签名了恶意的数据，随后钱包被恶意多签。

总结

在本期指南中，我们主要以 TRON 钱包为例，讲解了多签机制、黑客实施恶意多签的过程和套路，希望帮助大家加深对多签机制的理解和提高防范钱包被恶意多签的能力。当然，除了被恶意多签的情形之外，还存在一些比较特别的案例，有的新手用户可能因操作不慎或缺乏了解，误将钱包设置成了多签，导致需要多个签名才能进行转账。此时，用户仅需满足多签要求或在权限管理处将 Owner/Active 权限只授权给一个地址，恢复单签即可。

最后，慢雾安全团队建议广大用户定期检查账户权限，查看是否有异常；从官方途径下载钱包，我们在Web3 安全入门避坑指南｜假钱包与私钥助记词泄露风险里讲过如何找到正确的官网和验证钱包的真伪；不点击不明链接，更不轻易输入私钥/助记词；安装杀毒软件（如卡巴斯基、AVG 等）和钓鱼风险阻断插件（如 Scam Sniffer），提高设备安全性。

免责声明：本文只为提供市场讯息，所有内容及观点仅供参考，不构成投资建议，不代表本站观点和立场。投资者应自行决策与交易，对投资者交易形成的直接或间接损失，作者及本站将不承担任何责任。！
Tag：Web3   避坑指南   多签  

你可能感兴趣的文章

币圈快讯

  • TRM报告：柬埔寨西港赌场接收10.7亿美元加密资产64%涉OFAC制裁网络

    2026-10-31 09:33
    10月31日，据TRMLabs报告，2026年1月1日至9月7日，柬埔寨西哈努克港（西港）34家实体赌场共接收约10.7亿美元加密资产，其中约6.87亿美元、即64%流入与美国财政部海外资产控制办公室（OFAC）制裁网络有关联的赌场，99.9%的资金为波场（TRON）链上USDT。三家关联赌场实体在相关制裁生效后仍接收逾3.2亿美元。TRM指出，尽管柬埔寨持续打击诈骗园区，当地赌场及兑换网点仍提供加密资产兑现金服务，部分赌场客户尽职调查明显不足，运营方频繁更换钱包也增加了追踪难度。

  • JupiterLend：提现已恢复正常

    2026-10-31 09:21
    10月31日，Solana生态借贷协议JupiterLend发文表示，JupiterLend上的流动性紧缺状况现已结束。随着流动性得到补充，USDC提款功能已恢复正常，此前激增的资金利用率也随之回落。

  • a16zFrontier、DeFiEducationFund与Uniswap反对伊利诺伊州数字资产税拟议规则

    2026-10-31 09:11
    10月31日，a16zFrontier政策负责人兼总法律顾问MilesJennings发文表示，a16zFrontier、DeFiEducationFund与Uniswap已加入反对伊利诺伊州《数字资产税法》的行动。他指出，拟议实施规则超出法律授权范围，将许多去中心化交易所（DEX）视为负有代征税款义务的经纪商，但自主运行的软件无法履行此类义务；规则还可能对居民不涉及交易的资产转移征税，类似于在支票账户与储蓄账户之间转账也被征税。此外，加密创新委员会（CCI）与区块链协会（BlockchainAssociation）正通过诉讼挑战该法。

  • 俄乌互相指责对方袭击能源设施

    2026-10-31 08:43
    10月31日讯，俄罗斯副总理诺瓦克30日表示，乌克兰当天袭击了俄罗斯多座炼油厂和一个天然气设施。俄罗斯总统助理乌沙科夫同一天表示，乌克兰再次无视美国总统特朗普要求停止袭击俄罗斯炼油厂的呼吁，特朗普在该问题上态度坚定但乌方未听从。乌克兰总统泽连斯基30日表示，俄罗斯针对乌克兰发电设施、电网和能源互联设施的行动仍在持续。泽连斯基表示，俄罗斯没有在能源领域采取任何缓和局势的举措，乌方将继续作出相应回应。本月15日，泽连斯基表示，乌克兰应美国方面要求一度暂停袭击俄罗斯炼油厂，但由于俄罗斯继续打击乌克兰能源基础设施，乌克兰已取消了相关禁令。（央视新闻）

  • 以太坊新提案拟允许钱包永久禁用EIP-7702委托功能

    2026-10-31 08:41
    10月31日，据TheDefiant报道，开发者nicolashw于10月30日提交一项以太坊核心改进提案草案，拟允许外部账户（EOA）永久禁用EIP-7702委托功能，同时保留原有地址、普通转账及合约调用能力。与仅清除当前委托不同，该操作不可逆，可阻止账户今后再次授权智能合约代码代表自身运行。不过，该机制无法阻止私钥泄露后发生的资金转移，也不会撤销已有的代币授权，还可能影响依赖委托功能的账户恢复及资产访问。目前该草案尚未合并，也未获得正式EIP编号；若后续获采纳，仍需通过以太坊网络升级激活。
    • 查看更多

最新资讯

更多

区块链百科