近期，imtoken钱包被曝出其新增币种功能存在安全漏洞，该功能因合约地址校验环节缺失，用户在使用该功能添加币种时，可能误将恶意合约地址当作合法地址添加，进而引发数字资产受损的风险，业内人士提示，用户需警惕此类漏洞，及时关注钱包官方的修复动态，做好自身数字资产的安全防护。
作为国内用户量领先的非托管加密货币钱包，ImToken因多链管理便捷性、DAPP生态丰富性，长期占据国内加密资产用户的核心选择，但近期曝出的“自定义币种添加漏洞”，再次将非托管钱包的安全边界问题推至行业聚光灯下——安全研究人员指出，该钱包的“新增自定义币种”功能未对用户输入的代币合约地址做严格校验，可能引发资产误转、代币丢失甚至钓鱼攻击,风险等级远超普通功能疏漏。
漏洞核心：“静默接受”恶意地址，风险隐蔽性极强
据安全团队演示,ImToken的自定义币种添加流程中存在两个关键缺陷：
- 格式校验缺失：不同区块链的合约地址有严格格式规范（如以太坊为42位十六进制、Solana为Base58编码），但ImToken未对输入地址做链上格式匹配，哪怕是不符合规则的“乱码地址”也会被默认接受；
- 关联校验空白：当用户输入的地址为恶意项目伪造的虚假合约，或其他代币的地址时，钱包不会弹出“地址无效”“非目标代币”的明确预警,反而直接将该地址对应的代币归类为用户要添加的币种。
更危险的是，若用户此前持有该虚假地址对应的代币，转账时极易误将真实资产转到错误地址；部分恶意项目方还会诱导用户输入伪造地址，跳转至钓鱼链接完成转账——非托管钱包无第三方资产追回机制，用户损失几乎无法挽回，据慢雾安全统计，2023年此类自定义币种漏洞导致的资产损失超200万美元，占非托管钱包安全事件的15%。
官方回应：已发布修复版本，多维度优化校验逻辑
漏洞曝光后，ImToken官方第一时间启动修复，目前v2.18.0及以上版本已完成升级,修复内容包括：
- 地址格式精准校验：针对不同区块链的地址规则做差异化匹配，输入不符合格式的地址时,直接拦截添加；
- 合约关联验证：输入地址后自动查询对应链上的合约信息，若该地址无代币合约，弹出“非有效合约地址”预警；
- 风险等级标注：已知恶意地址会被标记“高风险”，并提示“添加后可能导致资产损失”；
- 用户引导强化：添加自定义币种时，新增“仅从官方渠道获取地址”的弹窗提示,降低用户误操作概率。
截至目前，官方已通过应用商店推送、社区公告、APP内弹窗等方式，提醒未更新的用户尽快升级,避免处于风险中。
用户防护要点：从“被动防御”到“主动管控”
针对此次漏洞，ImToken用户需建立“安全优先”的操作习惯,重点关注以下5项防护措施：
- 强制更新钱包：开启自动更新功能，确保钱包为最新版本；若使用旧版本，需从官方应用商店或官网下载安装包，切勿从第三方渠道获取（防止恶意篡改）；
- 地址来源绝对可信：添加自定义币种时，仅从项目官网的“代币合约”页面、区块链浏览器（如Etherscan、BscScan）的官方代币列表获取地址，拒绝陌生链接、群聊中发送的地址（警惕相似字符的伪造地址，如将
0x123改为0x123a）； - 转账前双重核对：复制收款地址至区块链浏览器，查看该地址的代币信息，与目标代币的官方参数（如合约代码、代币符号）完全一致后再操作；大额转账建议先转小额测试,确认到账后再处理大额资产；
- 助记词安全备份：助记词是钱包唯一私钥载体，切勿存储在云端、拍照或泄露给他人，建议写在纸质介质上，存放在安全的物理位置；每3-6个月备份一次,避免因磨损或丢失无法恢复资产；
- 陌生代币慎操作：对于市值低于1000万美金、无官方网站/白皮书、未经过头部机构审计（如CertiK、慢雾）的代币，直接忽略；若需添加，先在区块链浏览器查询合约代码的审计报告，确认项目团队的公开信息，警惕“空气币”“传销币”。
行业反思：非托管钱包需平衡“便捷”与“安全”
此次漏洞再次印证了非托管钱包的核心矛盾：用户掌控私钥的优势，同时意味着风险完全由用户承担，对开发者而言，安全设计不能为了追求便捷而妥协——此次“静默接受”的设计，本质是为了降低用户操作门槛，但却忽略了“错误提示”的必要性；对用户而言，加密资产的安全从来不是“一劳永逸”，而是需要持续保持警惕，毕竟“三分靠产品，七分靠自己”，非托管钱包需在功能设计中加入更多“安全开关”（如地址白名单、二次确认弹窗）,才能在用户体验与安全防护间找到最优解。
转载请注明出处：qbadmin，如有疑问，请联系（）。
本文地址：https://www.niudunjy.com/loop/3524.html