有安全风险吗
作者：EatonAshton2，Beosin 安全研究员
在 $UNIBOT 的市值从 3000 万美元飙升至 1.85 亿美元（目前为 1.1 亿美元）后，加密市场的玩家开始 FOMO 起电报机器人和相关代币。$UNIBOT 是由 UNIBOT 发行的代币，UNIBOT 是 Telegram 交易机器人，用户可以与机器人交互来监控流动性池子，交易代币和复制他人的交易。
随着 UNIBOT 越来越受到加密货币市场的关注，各种类型的机器人出现了：LootBot 是一个在不同 EVM 链上自动搜寻 Airdops 的机器人。Bridge Bot 旨在更快、更安全地桥接用户的资金。MEVFree 机器人是为了帮助用户在交易时避免 MEV 攻击。
今天我们就来简单聊一下最近大火的 Telegram 机器人，以及一些安全风险的防范。
Telegram 机器人，炒作还是投机？
我们可以看到，Telegram 机器人是在 Telegram 上运行的程序，提供不同类型的加密服务，以满足 degen 玩家和空投玩家的需求。
当前处于深熊阶段，许多加密用户需要交易山寨币或者土狗币才有可能获得几倍甚至几十倍的利润。2023 年已经诞生了许多有影响力的 meme 币，如 $Pepe、$Ordi、$Aidoge。
UNIBOT 恰好是 “一个土狗交易所”，为链上土狗玩家提供中心化交易所的服务，其代币 $UNIBOT 已经暴涨几十倍。投资者或投机者可能会声称在 7 月 23 日 UNIBOT 的 24 小时收入达到了 337.54 $ETH（665,000 美元），如下图所示。因为 UNIBOT 在出售 $UNIBOT 代币时会收取 5% 的销售税，若使用 UNIBOT 交易则会收取 1% 的交易费，购买 $UNIBOT 的玩家会觉得 UNIBOT 是一个有真实收入的项目。
然而，UNIBOT 每天产生的收入大约 80% 来自于 $UNIBOT 的投机，而不是来自 UNIBOT 的使用。如果 $UNIBOT 不再炒作，每日收益将会大幅下降。现在日均交易量约为 460 万美元，交易费用约为 46,000 美元。$UNIBOT 的流通量为 1000 万个，$UNIBOT 的价格为 110 美元。每个代币的每日收入约为 0.023 美元，这实际上表明了 $UNIBOT 现在并不值得投资。
Telegram 机器人的安全风险
1. 中心化
Telegram 机器人的风险与中心化交易所的风险相同。如果用户想要使用 Telegram 机器人，他们需要将私钥导入这些机器人。在此过程中，其它软件有可能通过粘贴板读取用户的私钥。此外，用户一旦在电报机器人中导入私钥，其加密资产就不再由自己控制。
2. 安全风险
大多数 Telegram 机器人不是开源的，也没有第三方的代码审计。机器人中的潜在漏洞可能会导致资产损失。如果用户的 Telegram 账户受到攻击（针对 Telegram 账户的钓鱼攻击时有发生），那么电报机器人上的资产也会受到黑客的控制。
在 Telegram 机器人热潮期间，有关 Telegram 机器人的钓鱼和诈骗在不断出现。这些机器人声称是自动交易或反抢先交易，诱导用户导入私钥，然后在未经用户许可的情况下转移用户的资金。
如何改进 Telegram 机器人？
1. 开源
Telegram 机器人应该开源并进行安全审查。用户需要通过代码而不是通过项目方的描述来了解机器人的交易策略或撸空投的策略。
2. 安全性增强
Telegram bot 需要考虑私钥保护，构建更安全的运行环境。例如，在存储私钥和签署交易时，建议使用 MPC（多方计算）技术。Telegram 机器人可以考虑添加验证代币合约的功能，或者与安全公司合作，以防止用户参与貔貅盘和跑路盘，损失资产。
总体而言，Telegram 机器人可以成为交易者尤其是 degen 玩家的强大工具，为用户提供便捷高效的加密服务，但相关代币不值得投资。用户需要注意 Telegram 机器人的风险，在使用任何交易机器人之前，用户应始终保持小心并进行充分的研究。
