Folo 认证功能反成漏洞？警惕 RSS 聚合订阅源所有权被恶意盗取风险

作者



Folo 是什么

Folo（曾用名 Follow）是一个多平台信息流订阅软件（包括 RSS），结合了 Web3 功能（所用 Token 叫 $POWER，比特币就是一种 Token)。
在这个软件中，你可以通过 $POWER 打赏订阅源，如果有人认证了这个订阅源，就可以获得你打赏的 $POWER。打赏所获得的 $POWER 能进行提现。

$POWER 值钱吗

按照撰文时汇率（2025-3-31 20:16 GMT+8），1$POWER=0.05018555464897344$RSS3、1$RSS3=0.049823USD、1USD=7.2533CNY。我们可以得出 1$POWER≈0.0181CNY。
有博友若干天前通过给自己小号打赏的方式实测：“16 $POWER 提现后大概值 0.3CNY”。按上面得到的汇率计算 16$POWER≈0.290CNY。

如何认证订阅源

认证订阅源有三种方法，第一种是输出内容，如下图：
folo-authentication-ownership-theft-warning-1.png
第二种是将指定内容添加到需要认证的订阅源的 <description /> 字段内，第三种是添加 RSS 标签。

有心之人很容易使用第一种方式轻松认证文章聚合源，由此获取打赏的 $POWER。

并且在认证后，没有方法再认证此订阅源/转移认证。（此外未能找到可用的文档，如您知道如何操作，欢迎在评论区补充)

我们能做什么

  1. Folo 用户：通过各种渠道反应给 Folo 官方，禁用第一种认证方法。
  2. 聚合源维护者：尽早认证自己的订阅源，防止被他人提前认证。
  3. 聚合源维护者：进行内容检查，防止类似 This message is used to verify that this feed (feedId:00000000000000000) belongs to me (userId:00000000000000000). Join me in enjoying the next generation information browser https://follow.is.的内容流入聚合源。
  4. 聚合源读者：提醒聚合源维护者尽早认证自己的订阅源。
  5. 终极解决方案：忽略它。