钱包风控模型构建

1. 用户注册-登录

详细风险点拆解

• 撞库盗号：攻击者利用泄露的邮箱/密码组合尝试登录。

• 示例：同一IP短时间内尝试多个账号和密码组合。

• 批量注册：恶意脚本自动注册大量账号，用于后续攻击或薅羊毛。

• 示例：同一设备/浏览器指纹在一分钟内注册10+账号。

• 恶意爆破：对登录接口进行高频密码尝试。

• 示例：单账号在5分钟内被尝试100次不同密码。

防御思路

• 登录/注册接口加验证码和行为验证。

• 同IP、同设备注册/登录频率限制。

• 检测设备指纹/Root/沙盒环境，异常则提升验证等级。

• 异常行为触发二次验证（如短信、邮箱）。

异常特征总结

• 同设备/同IP高频注册或登录。

• 设备为Root、沙盒、模拟器。

• 登录地理位置异常变动。

细节举例

1. 撞库盗号（Credential Stuffing）

2. 批量注册（Bulk Registration）

3. 恶意爆破（Targeted Brute-Force）

异常特征总结与提取

• 高并发 IP：短时同一 C 段多 IP 调用 /login、/signup

• 设备聚集：单 Device-ID / 浏览器指纹在 1-2 分钟内触发 ≥10 次注册

• 失败曲线：某帐号 5 分钟内失败登录> 50 次，却分散在多 IP

• 环境异常：Root / 模拟器 UA + 频繁验证码请求

• 地址重叠：新注册帐号与已知黑产地址链上转账路径重合

• 行为突变：登录后 30 秒内修改安全设置 + 发起非历史记录地址的转账

2. 钱包创建 & 成员邀请

详细风险点拆解

• 批量创建空钱包：利用自动化脚本生成大量钱包。

• 示例：同一设备/指纹一天内创建50+钱包。

• 恶意邀请：邀请机器人或黑名单地址为成员。

• 示例：被邀请地址无链上活跃历史，或与攻击者相关联。

防御思路

• 限制同IP/设备/手机号短时间内的创建频率。

• 新成员邀请时需二次验证（如邮箱/短信确认）。

• 检查被邀请地址的链上信誉和历史交易活跃度。

• 对异常设备发起的操作提升风控等级。

细节举例

1. 批量创建空钱包

2. 恶意邀请

防御思路与实现细节

1. 频率与聚集限制

• 对同一IP、设备、手机号、邮箱在一定时间内可创建的钱包数量和可邀请成员数量设置上限，超出即冷却或拦截。

• 聚合分析新钱包及成员的设备指纹、IP来源，发现批量操作及时预警。

2. 成员邀请二次验证

• 新成员被邀请时，要求其通过邮箱或短信二次确认，防止机器人或未授权地址被批量拉入。

• 对高风险设备（如Root、模拟器、沙盒环境）发出的邀请，自动提升风控等级或限制操作。

3. 链上信誉与历史校验

• 检查被邀请地址的链上活跃度、历史交易、黑名单记录，发现“僵尸地址”或黑名单地址自动拦截。

• 对于近期新建、无历史活跃的地址，要求更高的验证强度或人工复核。

异常特征总结与提取

• 多个新钱包或成员来源于同一设备指纹、IP、手机号、邮箱。

• 被邀请成员为“僵尸地址”：无链上交易历史、近期新建、无入账/出账行为。

• 被邀请成员与攻击者存在链上资金流、注册信息、设备环境等高度关联。

• 钱包创建和成员邀请行为在时间、空间上高度集中，呈现批量化、自动化特征。

这些特征一旦被检测到，应立即触发风控策略，如限制操作、二次验证、人工复核等，防止批量创建和恶意成员渗透。

3. 提案（Proposal）发起

详细风险点拆解

• 恶意大额提案：突然发起大额转账或风险合约调用。

• 示例：平时无大额操作历史，突然发起百万USDT转账。

• 钓鱼合约：提案目标为恶意合约。

• 刷提案：短时间内发起大量无意义提案，消耗资源。

防御细化

• 检查提案金额与用户历史行为的一致性。

• 合约调用目标地址做黑名单和信誉校验。

• 提案频率限制，超出后需人工或多重验证。

• 异常设备/地理位置发起的提案需二次验证。

细节举例

1. 恶意大额提案

2. 钓鱼合约

3. 刷提案

防御思路与实现细节

1. 金额与行为一致性校验

• 对每次提案的金额、目标地址、合约方法与用户/钱包历史行为进行比对，发现显著不符时自动拦截或提升验证等级。

• 结合机器学习/规则引擎，动态调整高风险提案的阈值。

2. 目标地址信誉与黑名单校验

• 所有合约调用目标地址需实时查询黑名单、信誉库和链上历史，发现高风险合约自动拒绝或人工复核。

• 对首次出现或近期新建的目标合约，默认提升风控等级。

3. 提案频率与内容限制

• 限制单账号/设备/钱包在指定时间窗口内的提案次数，超过阈值需人工审核或强制冷却。

• 对内容重复、无实际意义的提案自动识别并过滤。

4. 异常环境/地理位置二次验证

• 提案发起环境为Root、模拟器、沙盒或地理位置突变时，强制二次验证（如MFA、短信、邮箱）。

异常特征总结与提取

• 提案金额、目标地址、合约方法与历史行为模式显著不符。

• 单账号/设备/钱包短时间内频繁发起提案，内容重复或无意义。

• 提案发起环境异常（设备为Root、模拟器、沙盒）、地理位置与历史记录差异大。

• 目标合约为新建、无历史、黑名单或有高风险标签的地址。

4. 收集签名

详细风险点拆解

• 批量伪签名：攻击者控制多个账号短时间内批量签名。

• 滥用成员权限：盗号后快速收集足够签名放款。

防御细化

• 同一设备/同一IP短时间多签名触发风控。

• 签名请求来自Root/沙盒/模拟器设备时需二次验证。

• 检查签名成员的地理位置、设备与历史行为一致性。

异常特征总结

• 短时间内同设备/同IP多签名。

• 签名成员设备/环境异常。

细节举例

1. 批量伪签名

2. 滥用成员权限

防御思路与实现细节

1. 签名频率与来源聚合

• 对同一提案的签名来源做时序分析：若多个签名在极短时间内来自同一 IP、同一设备或同一 ASN，立即拦截或要求人工复核。

• 设定“最短签名间隔”阈值，例如 5 秒；若实际间隔低于阈值，则强制二次验证或延迟交易执行。

2. 环境与地理一致性校验

• 每个成员签名时，核对设备指纹、IP、地理位置与其历史行为画像；异常则要求 MFA。

• 将 Root、沙盒、模拟器环境设为高风险系数，一旦检测到此类设备签名，自动触发二次验证并发告警。

3. 动态阈值 + 时间锁

• 对大额交易或高风险合约调用，采用提升签名阈值或“时间锁”机制：签名齐备后仍需等待 X 分钟，让风控与人工有响应时间。

• 若签名过程出现聚集异常，可自动延长时间锁或暂停执行。

4. 链上与链下联动告警

• 签名达到阈值后，链下系统应立即推送多渠道告警（邮件、短信、IM）至所有成员与安全团队，确保可及时撤销或紧急冻结。

异常特征总结

• 签名速率异常：同一 IP / 设备在几十秒内完成多成员签名。

• 设备环境异常：签名请求来源于 Root、模拟器、沙盒或此前未出现的新指纹。

• 地理位置突变：签名成员的 IP 区域与其历史登录地相距甚远，且多个成员突变高度同步。

• 行为模式骤变：以往人工签名流程耗时分钟级，当前批量签名耗时秒级；缺乏前端交互痕迹。

5. 交易执行

详细风险点拆解

• 洗钱：频繁小额多次转账或大额异常转账。

• 恶意提现：盗号后立即将资金转出。

• 黑名单地址转账：资金流向高危地址。

防御细化

• 结合链上地址信誉与历史行为分析收款方。

• 大额或异常频率交易自动延时或人工复核。

• LBS/IP跳变等地理异常时提升验证等级。

• 多重签名阈值动态调整。

异常特征总结

• 设备型号异常/模拟器。

• 资金流向黑名单地址。

• 跨区域、短时间内频繁大额交易。

交易执行 —— 风险与防御流程细节化

1. 洗钱

2. 恶意提现

3. 黑名单地址转账

防御思路与实现细节

1. 链上地址信誉与历史行为分析

• 实时查询收款方地址的链上信誉、历史交易活跃度、黑名单记录。

• 对新建、无历史、黑名单或与黑产相关联的地址自动提升风控等级，拦截或延时处理。

2. 大额/高频交易延时与人工复核

• 对超出历史均值的大额交易、短时间内频繁转账自动设置延时（如时间锁），并推送人工复核。

• 结合行为画像，识别与历史操作不符的提现行为，优先拦截。

3. 地理与设备异常检测

• 检查交易发起设备型号、环境（如模拟器、Root）、IP、LBS等，发现异常时强制二次验证或冻结操作。

• 跨区域、短时间内多地发起大额交易，自动触发高风险告警。

4. 多重签名阈值动态调整

• 对高风险交易动态提升多签阈值（如从2/3提升到3/3），确保更多成员参与审核。

• 阈值调整可结合交易金额、目标地址风险等级、操作环境等多维度动态决策。

异常特征总结与提取

• 交易发起设备为模拟器、Root、沙盒或此前未出现的新型号。

• 资金流向黑名单、高风险、无历史活跃度或新建地址。

• 钱包在短时间内跨区域、跨设备、频繁发起大额或多笔小额交易。

• 登录与提现操作几乎同时发生，且操作环境与历史行为显著不符。

6. 成员变更 & 阈值调整

详细风险点拆解

• 恶意降阈值：攻击者降低签名阈值后盗取资金。

• 移除正常成员：排除正常用户，提升攻击成功率。

防御细化

• 阈值或成员变更需全员或更高比例签名。

• 发起人和签名人的行为、设备、地理位置需一致。

• 变更操作与历史操作行为不符时需人工复核。

异常特征总结

• 操作人行为突变，设备/位置异常。

• 变更提案频率异常升高。

细节举例

1. 恶意降阈值

2. 移除正常成员

防御思路与实现细节

1. 高门槛签名要求

• 所有关于阈值调整和成员变更的提案，要求全员或更高比例成员签名通过，防止小团体操控。

• 对于降阈值、移除成员等高风险操作，默认提升签名阈值，增加操作难度。

2. 行为一致性与异常检测

• 核查发起人和所有签名人的设备指纹、IP、地理位置等，要求与其历史操作保持一致。

• 检测签名过程中的异常聚集（如同设备、同IP、同地理位置），或与历史行为明显不符时，自动触发人工复核。

3. 变更操作频率与历史比对

• 监控成员变更和阈值调整的提案频率，发现短期内异常升高时，自动限制操作或推送安全告警。

• 对于首次或极少见的变更操作，要求多重验证和人工审核。

异常特征总结与提取

• 发起人或签名人行为模式突变，操作设备、IP、地理位置与历史明显不符。

• 多个签名操作集中在同一设备/IP或异常环境（如Root、模拟器）。

• 成员变更、阈值调整操作在短时间内频繁发生，远超正常业务规律。

• 被移除成员无明显违规或异常行为，且未参与相关签名。

7. 合约交互（DeFi/NFT）

详细风险点拆解

• 钓鱼合约：诱导 approve 给恶意合约。

• 重放攻击：利用签名包二次消费。

防御细化

• 合约目标地址信誉和黑名单校验。

• approve/授权金额、频率与历史行为比对。

• 静态/动态分析合约代码，标记高危操作。

异常特征总结

• 连续 approve，授权金额异常。

• 合约目标为新创建或高风险地址。

细节举例

1. 钓鱼合约

2. 重放攻击

防御思路与实现细节

1. 合约目标信誉与黑名单校验

• 对所有合约交互目标地址进行链上信誉和黑名单实时查询，发现高风险、新建或无历史合约时自动提升风控等级，禁止 approve 或要求人工复核。

• 合约地址与历史交互行为比对，首次出现时需多重验证。

2. 授权金额与频率行为分析

• 检查 approve/授权操作的金额和频率，若远高于历史均值或短时间内连续授权，自动拦截或要求更高等级验证。

• 对无限授权、非标准金额授权等高危操作设定阈值，超出即告警。

3. 合约代码静态与动态分析

• 对目标合约进行静态代码扫描，识别常见高危操作（如 transferFrom、delegatecall、selfdestruct 等）。

• 动态分析合约交互行为，标记潜在风险点，结合社区情报及时更新高风险标签。

4. 签名包防重放机制

• 所有签名包绑定唯一 nonce 或时间戳，确保每个签名仅能被消费一次。

• 检测到重复签名包时自动拦截，推送安全告警。

异常特征总结与提取

• 用户/钱包短时间内连续进行 approve 操作，且授权金额异常大或为无限额度。

• 合约目标地址为新建、无历史活跃度或已被标记高风险/黑名单。

• 同一签名包或交易内容被多次提交，存在重放攻击迹象。

• 合约交互内容与用户/钱包历史行为模式显著不符。

8. API / SDK 调用

详细风险点拆解

• API爆破：高并发请求接口，试探风控漏洞。

• 短信轰炸：滥用验证码接口。

防御细化

• 接口访问频率、IP、Token多维限流与黑名单。

• Webhook和回调接口加签名与重放保护。

• 针对异常参数/流量自动告警。

异常特征总结

• 单IP多地调用，参数高度相似。

• 验证码/短信请求异常高。

API / SDK 调用 —— 风险与防御流程细节化

1. API爆破

2. 短信轰炸

防御思路与实现细节

1. 多维限流与黑名单

• 针对API接口，按IP、Token、设备ID、手机号等多维度设置访问频率上限，超出即冷却、封禁或拉黑。

• 维护高风险IP、Token、手机号黑名单，实时拦截已知攻击源。

2. Webhook与回调安全

• 所有Webhook、回调接口强制加签名校验，防止伪造请求。

• 引入重放保护机制（如nonce、时间戳），确保每个请求只能被消费一次。

3. 异常参数与流量监控

• 实时分析API请求参数，识别高度相似、批量生成、递增等异常模式。

• 对异常流量、参数组合自动触发安全告警，推送风控团队及时响应。

4. 验证码/短信接口防滥用

• 对验证码/短信接口单IP、单手机号、单设备的请求频率严格限制。

• 检测到异常请求量时，自动暂停服务、人工复核或要求更高等级验证。

异常特征总结与提取

• 单IP或同一Token在短时间内对API接口发起大量请求，参数高度相似或有规律变化。

• 验证码/短信接口请求量异常高，单手机号、单IP、单设备短时间内收到大量验证码。

• Webhook、回调接口收到重复、伪造或无签名的请求。

• API请求流量、参数分布与历史业务模式显著不符。

9. 客户支持 & 通知

详细风险点拆解

• 钓鱼邮件：伪造通知诱导用户操作。

• 社工假客服：冒充官方进行诈骗。

• 短信轰炸：导致用户忽略真实告警。

防御细化

• 官方通知全部加签名，支持校验。

• 客服系统与产品账号深度绑定，防伪提示。

• 异常短信流量内容、频率、模板多维过滤。

异常特征总结

• 同一用户短期收到大量通知/验证码。

• 通知内容或来源异常。

细节举例

1. 钓鱼邮件

2. 社工假客服

3. 短信轰炸

防御思路与实现细节

1. 官方通知加签名与可验证

• 所有系统邮件、站内信、推送均使用 DKIM、DMARC、PGP 或自定义数字签名；界面明确提供“验证签名”入口。

• 客户端或浏览器插件自动校验签名并高亮“官方已验证”标识。

2. 客服系统与账号深度绑定

• 官方客服只能通过系统内置工单/聊天入口与用户沟通，并显示唯一工单编号。

• 客服账号与后台权限强绑定，第三方社交平台仅用于引导用户回到官方渠道。

3. 短信/邮件模板多维过滤与限流

• 按手机号、IP、账号、模板 ID 设置限频，超阈值自动冷却或封禁。

• NLP/规则双引擎检测短信正文、邮件主题的钓鱼关键词、恶意链接，一经发现立即阻断。

4. 异常流量与内容监控

• 实时监控同一用户在短期内收到的通知、验证码数量；超出正常范围立即告警。

• 建立举报通道与黑名单库，快速下架钓鱼域名、假客服账号、恶意短信模板。

异常特征总结

• 单一用户或手机号在极短时间内收到异常大量邮件/短信/验证码。

• 通知内容包含可疑域名、拼写变体、未知签名或校验失败。

• 客服沟通渠道、工单编号无法在官方系统溯源；客服账号脱离官方域名/应用。

• 用户短期内多次点击非官方链接并紧接出现异常登录、资产转移。

异常特征通用化总结

1. 设备异常：Root、沙盒、模拟器、特定型号、指纹变更。

2. IP/LBS异常：频繁切换、跨区域、与历史行为不符。

3. 行为模式异常：短时间内高频操作、金额/目标/内容与历史极度不符。

4. 账号聚集：同一IP/设备/手机号/支付ID下的多个账号高频操作。

5. 链上特征：目标地址新建、无历史、黑名单、与攻击模式相符。

6. 接口滥用：API/短信/验证码高并发、参数高度相似。

整体防御体系框架

1. 静态核身层：依托“同一 IP/设备/手机号/地址”规则，拦截注册-登录及阈值高风险操作。

2. 动态行为层：以频次、金额、链上地址信誉为维度，实时计算风险分值并匹配“操作限流/二次验证/风控拦截”。

3. 异常特征层：利用 Root、沙盒、模拟器、LBS 跳变等信号触发高权重加分。

4. 链上情报层：集成链上黑名单、洗钱路径分析，对可疑流向提前阻断。

5. 人机协同层：对分值边界事件输出告警，人工复核后再放行或拒绝。

实施与演进思考

• 指标体系：为每个环节定义 KPI（拦截率、误杀率、平均审核时长）。

• 数据闭环：将拦截结果与事后真伪标签归档，持续训练评分阈值。

• 灰度策略：高风险动作先进入灰度观察池，避免一次性大规模阻断影响正常业务。

• 定期复盘：结合新出现的攻击模式（如 AA 钱包抽象签名、L2 跨链桥漏洞）更新风险库。