合作伙伴imToken反馈了一种新型的加密货币骗局，这种骗局主要通过线下实物交易来进行，使用USDT作为付款方式，并利用修改以太坊节点的RPC进行欺诈活动。
慢雾安全团队对这类骗局进行了分析，发现骗子的作恶流程如下：首先，骗子诱导目标用户下载正版的imToken钱包，并用1 USDT和少量ETH来获得用户的信任。然后，骗子会引导用户将其ETH的RPC网址重定向到骗子自己的节点(https://rpc.tenderly.co/fork/34ce4192-e929-4e48-a02b-d96180f9f748)。这个节点实际上已被骗子用Tenderly的Fork功能修改过，用户的USDT余额被伪造，使其看起来就像骗子已经将款项打入用户钱包一样。于是，用户看到余额就会误以为已经到账。但当用户试图转入矿工费以变现账户中的USDT时，就会意识到自己上当了。而这时，骗子早已消失无踪。
实际上，除了余额显示可以被修改，Tenderly的Fork功能甚至可以改变合约信息，对用户构成更大威胁。
RPC是一种连接和交互的方式，用于与区块链进行交互。通过嵌入RPC功能，用户能够执行请求并与区块链进行交互。一般来说，所有类型的钱包默认都会连接到安全的节点，用户无需进行任何调整。但是，若轻易相信他人，将钱包链接到不信任的节点，可能会导致钱包中显示的余额和交易信息被恶意修改，进而带来财产损失。
我们使用链上追踪工具MistTrack对其中一个已知的受害者钱包地址(0x9a7…Ce4)进行了分析，发现该地址收到了地址(0x4df…54b)转入的小额1 USDT和0.002 ETH。继续追溯，我们发现该地址已经进行了三次骗局，并与多个交易平台关联，同时与被MistTrack标记为“Pig Butchering Scammer”的地址有交互。
这种骗局之所以狡猾，是因为利用了用户的心理弱点。用户往往只关注自己钱包中是否有款项到账，而忽视了背后可能存在的风险。骗子正是利用这种信任和疏忽，通过一系列让人信以为真的操作，对用户进行欺诈。因此，慢雾安全团队建议广大用户在进行交易时要保持警惕，提高自我保护意识，不要轻信他人，避免自身财产受损。