背景
在上一期Web3安全入门避坑指南中，我们详细探讨了下载和购买钱包时可能遇到的风险，包括如何识别真官网和验证钱包真伪，以及私钥和助记词泄露的风险。虽然”Not your keys, not your coins”这句话广为人知，但现实中还存在一种特殊情况：即使你持有私钥或助记词，也可能失去对资产的控制权，这就是钱包被恶意多签的情况。根据MistTrack收集的被盗案例，我们发现许多用户在遭遇恶意多签后，往往困惑于为何钱包余额仍在却无法转出资金。为此，本期我们将以TRON钱包为例，深入解析多签钓鱼的相关知识，包括多签机制的工作原理、黑客的常见手法以及如何防范钱包被恶意多签。
多签机制解析
多签机制最初是为了增强钱包安全性而设计的，它允许多个用户共同管理和控制同一个数字资产钱包。这种设计的好处在于，即使部分管理者丢失或泄露了私钥或助记词，钱包内的资产仍能得到保护。TRON网络的多重签名权限系统特别设计了三种不同的权限：Owner、Witness和Active，每种权限都有其特定的功能和用途。
Owner权限是最高级别的控制权，拥有执行所有合约和操作的完全权限。只有具备Owner权限的账户才能修改其他权限设置，包括添加或移除其他签名者。值得注意的是，新创建的账户默认由账户本体拥有Owner权限。
Witness权限主要与超级代表(Super Representatives)相关，拥有该权限的账户可以参与超级代表的选举和投票，管理相关操作。而Active权限则用于日常操作，如转账和调用智能合约。这个权限可以由Owner权限设定和修改，通常分配给需要执行特定任务的账户，它实际上是多个授权操作（如TRX转账、质押资产）的集合。
在新账户创建时，该账户地址默认拥有Owner权限，可以自由调整账户的权限结构。用户可以决定将哪些权限授权给哪些地址，设置各地址的权重比例，以及确定执行操作所需的阈值。举例来说，如果阈值设置为2，三个被授权地址的权重均为1，那么在执行特定操作时，只要获得任意两个签名方的确认，该操作即可生效。
恶意多签的实施过程
当黑客获取用户的私钥或助记词后，如果用户没有启用多签机制（即钱包仅由用户单独控制），黑客就可能将Owner或Active权限授权给自己的地址，或者直接将用户的这些权限转移给自己。虽然这两种操作通常都被称为恶意多签，但从技术角度看，它们之间存在重要区别，主要取决于用户是否仍然保留Owner或Active权限。
第一种情况是利用多签机制。此时用户的Owner或Active权限并未被移除，但黑客给自己的地址也获得了这些权限。这种情况下，账户实际上由用户和黑客共同控制（假设阈值为2），用户和黑客地址的权重各为1。虽然用户仍然持有私钥或助记词并拥有相应权限，却无法单独转移资产，因为任何转出操作都需要用户和黑客双方签名才能完成。
值得注意的是，被多签的账户虽然转出资产需要多方确认，但接收资金并不需要多重签名。如果用户没有定期检查账户权限的习惯，或者近期没有进行转出操作，可能长期不会发现授权已被更改。黑客往往会采取”放长线钓大鱼”的策略，特别是当钱包内资产不多时，他们会等待账户积累更多资产后再一次性盗取。
第二种情况是黑客直接利用TRON的权限管理机制，将用户的Owner或Active权限完全转移给自己的地址（阈值仍保持为1），导致用户彻底失去这些关键权限。严格来说，这种情况并非真正的多签，但业界习惯上也称之为恶意多签。
无论哪种方式，最终结果都是相同的：用户失去了对账户的实际控制权，而黑客地址获得了最高权限，可以随意更改账户设置或转移资产。
常见恶意多签途径
根据MistTrack收集的被盗案例，我们总结了以下几种常见的钱包被恶意多签的途径，希望用户能提高警惕：
许多用户在下载钱包时未能通过正规渠道，而是点击了电报、推特或网友发送的虚假官网链接，导致下载到假冒钱包。一旦在这些假钱包中输入私钥或助记词，黑客就能立即获取这些敏感信息，进而实施恶意多签。
另一种常见情况是用户在钓鱼网站上输入私钥或助记词。这些网站通常伪装成出售加油卡、礼品卡或VPN服务的充值平台，一旦用户输入敏感信息，黑客就能立即控制其钱包。
在OTC交易过程中也存在风险。有些不法分子会通过偷拍或其他手段获取用户的私钥或助记词，或者直接获取账户授权，随后对钱包实施恶意多签。
近期还出现了一种新型骗局：骗子主动提供看似有效的私钥或助记词，声称自己无法提取对应钱包中的资产，承诺给予帮忙提取者丰厚报酬。实际上，这些钱包的提币权限已被配置给其他地址，无论操作者如何尝试都无法成功提现。
此外，虽然较为少见，但也有用户在TRON网络上点击钓鱼链接并签署恶意数据后，遭遇钱包被恶意多签的情况。
安全建议
本期指南以TRON钱包为例，详细讲解了多签机制的工作原理以及黑客实施恶意多签的常见手法，希望能帮助读者更好地理解多签机制并提高防范意识。需要说明的是，除了恶意多签外，还存在一些特殊情况：有些新手用户可能因操作失误或理解不足，不慎将钱包设置为多签模式，导致需要多方签名才能进行转账。这种情况下，用户只需满足多签要求，或在权限管理中将Owner或Active权限重新授权给单一地址，即可恢复单签模式。
最后，慢雾安全团队建议所有用户：定期检查账户权限设置，及时发现异常；务必通过官方渠道下载钱包应用（我们在Web3安全入门避坑指南｜假钱包与私钥助记词泄露风险中详细介绍过如何识别真官网和验证钱包真伪）；切勿点击不明链接，更不要随意输入私钥或助记词；建议安装专业杀毒软件（如卡巴斯基、AVG等）和钓鱼风险阻断插件（如Scam Sniffer），全面提升设备安全性。
声明：文章不代表CHAINTT观点及立场，不构成本平台任何投资建议。投资决策需建立在独立思考之上，本文内容仅供参考，风险 自担！转载请注明出处：https://www.chaintt.cn/15220.html