3月13日，Google公司宣布将禁止高风险金融产品的广告，“包括ICO、加密货币交易、钱包和交易建议”。此前Facebook已经禁止了相关金融产品的广告投放。



在网络巨头相继禁止区块链代币产品的广告投放背后，是一系列安全风险的逐步暴露：基于互联网精准广告的钓鱼案例多发，给分布在全球的用户造成数亿美元的损失。

2018年2月，思科公司的安全团队Talos披露，在过去的一年中与乌克兰警方合作，破获了一个基地设在乌克兰的黑客团伙（数字黑帮）。



（资深安全研究员 Matt Watchinski领导着Talos）

根据乌克兰警方发布的消息，黑客团伙名字叫做CoinHoarder（中文大意为“屯币”，下文将使用中文名称），屯币团伙设立了数百个模仿知名比特币钱包Blockchain.info的网站，并在Google上投放广告，把想从事比特币交易的网民引导到虚假的钓鱼网站上，欺骗他们在假网站登陆，获取他们的账号、密码、私钥等个人信息，然后在不知不觉中将其钱包中的数字资产转走。



（乌克兰网络警察）

为了避免引起网民的注意，屯币团伙在Google投放上设定了“精准广告选项”，钓鱼广告多数展示给IP地址位于非洲、母语非英语的网民，这些网民不会对英文网址的些微差异提起警惕。

除了英文字母之间的细微差异之外，该黑客团伙还使用了“unicode网址钓鱼”技术。简单的说，因为主流浏览器都支持多种语言的网址输入，在英语、西里尔语、汉语拼音、藏文字母等多种语言中，黑客使用不同语言的相似字母构建钓鱼网址。

黑奇士曾经详细解析过“币安钓鱼事件”，使用事先控制的31个账号，黑客获取了大约1万个比特币（尽管后来这些币没法提走），在那篇文章里我详细解释过什么叫“unicode网址钓鱼”。在乌克兰黑客诈骗案中，他们也使用了该技术。

警方证实，“屯币”团伙使用Google精准广告+钓鱼网站这一简单方法，在三年内获取了价值大约5000万美元的各种数字货币，受害者多数为非洲网民。



（“非洲互联网之父”Nii Narku Quaynor）

黑奇士通过国内搜索引擎查询，百度、搜狗等公司均未展现比特币相关广告。据内部人士表示，数字货币在国内属于不合法状态，因此相关广告也不能通过国内搜索引擎进行展现，这就大大降低了国内用户遇到此类搜索引擎钓鱼的概率。

有技术人士表示，对于搜索引擎广告这种特殊的广告类型来讲，广告监管存在一定难度，一旦松懈，就会给用户带来巨大的安全风险。

近日某新闻客户端被CCTV曝光“二跳”类虚假广告，也从某种意义上验证了此论点。这就可以理解为什么Google、Facebook这样的网络巨头也在禁止某些高风险类型的广告。

对于现在仍然从事数字货币交易的网民，专家建议：

1、不要点击邮件、聊天工具、或搜索引擎中搜到的交易所网址，这些网址都很容易被伪造。

2、下载数字钱包等交易工具，必须去官方网址。手机软件商城、QQ群、微信群的安装文件都很容易造假。下载完之后，如有必要，可以进行hash比对。

3、安装一款比较安全的浏览器，黑奇士推荐科学上网之后，安装chrome浏览器。（国内下载的浏览器经常不能联网升级，这会有很大安全隐患）