复旦大学系统软件与安全实验室在区块链诈骗治理方面取得新进展。团队对加密货币钱包中的视觉诈骗进行了首次的大规模测量研究，针对三种流行的骗局提供了一套高效的实时检测策略。在一年的时间里，团队揭示了以太坊区块链交易中的2,490万起攻击，这些攻击导致28,414名受害者被诈骗，损失超过2,700万美元。研究成果整理成文后，发表在CCF-A类交叉综合方向的顶会WWW 2024上。

根据《财富》报告，全球区块链市场规模将在2030年达到4,695亿美元。然而，随着市场的扩大，加密货币诈骗的风险也日益凸显。例如，区块链上的庞氏骗局已经导致数十亿美元损失。

传统的加密货币诈骗已被深入研究。团队将关注点转向了近期在加密货币钱包中大量出现的视觉诈骗。这类诈骗的攻击者，利用有限界面空间导致的信息缺失来欺骗受害者。

本研究关注了流行的视觉诈骗：假币诈骗、零转账诈骗和函数名诈骗。这三种诈骗覆盖了区块链用户使用钱包进行代币购买、代币转账、合约签署的整个使用流程。

攻击者利用钱包界面上关键信息的缺失，如代币符号、钱包地址和智能合约函数名，来误导受害者购买假冒代币、向攻击者发起转账、或者触发智能合约的恶意函数调用。这突出了一个窘况——在有限的用户界面空间中，加密货币钱包需要更好地权衡安全性与用户友好性。

本研究从诈骗规模与分布、受害者画像、攻击者画像以及诈骗收入等多个维度对视觉诈骗进行了测量分析，得到一系列重要发现。

2022年7月至2023年6月期间，团队检查了254万个以太坊区块，识别出2,490万起视觉诈骗攻击。这包括358万起假币攻击、2,128万起零转账攻击和3万起函数名攻击。团队进一步锁定了6,768名攻击者，这些攻击者对28,414名受害者造成了2,736万美元的巨额损失。

基于受害者画像，团队发现新创建的账户，尤其是在四个月内创建的账户，是攻击者集中攻击的目标。10%的受害者即便在被骗后，仍对这类诈骗带来的重大威胁浑然不知。

不同诈骗的盈利模式各不相同：有的积少成多；有的依赖少数的大额收益。同时，攻击频率与攻击收益之间存在强相关性：当利润较高时，攻击者纷纷涌入；而一旦成本变得高昂，攻击者会立马停止攻击。

研究团队介绍

洪赓，助理研究员、硕导。研究聚焦于互联网地下产业检测、网络犯罪治理、数据安全、区块链安全等，目前已在ACM CCS、IEEE S&P等网络安全国际顶级会议上发表多篇高水平学术论文，并主持国家自然科学基金青年项目等重要研究课题。其研制的反诈骗网站/APP侦查研判系统在执法机关得到广泛装备，发现的网络黑产风险漏洞获得腾讯、蚂蚁金服、京东、新浪等公司致谢。曾获ACM SIGSAC China优博奖、ACM CCS 2018亮点论文奖并指导学生获得全国大学生“挑战杯”课外学术竞赛全国总决赛特等奖等荣誉。

叶国懿，系统软件与安全实验室一年级硕士生，本科毕业于复旦大学信息安全专业。研究方向为网络犯罪、互联网资源滥用、区块链与智能合约安全等。