تهديدات جديدة للتصيد ضد محفظة Web3.0 المحمولة: هجمات صيد مودي

مؤخراً، اكتشف باحثو الأمن تقنية جديدة للتصيد تستهدف المحفظة المحمولة الخاصة بـ Web3.0، تُعرف بـ "هجوم التصيد عن طريق النماذج"(Modal Phishing). تستغل هذه الطريقة الهجومية النوافذ النمطية في تطبيقات المحفظة المحمولة، من خلال عرض معلومات مضللة لخداع المستخدمين للموافقة على معاملات ضارة.

ما هو هجوم التصيد النمطي؟

تستهدف هجمات التصيد الاحتيالي النمطية بشكل أساسي التلاعب بالنوافذ النمطية في تطبيقات محفظة العملات المشفرة. النوافذ النمطية هي عناصر واجهة مستخدم تُستخدم عادةً في تطبيقات الهاتف المحمول، وعادةً ما تظهر فوق الواجهة الرئيسية، وتستخدم لإجراء عمليات سريعة مثل الموافقة/رفض طلبات المعاملات.

في الظروف الطبيعية، ستظهر نافذة الوضع معلومات هوية جهة إصدار المعاملة، مثل عنوان الموقع، الأيقونة، إلخ. ومع ذلك، يمكن للمهاجمين التلاعب بهذه العناصر واجهة المستخدم، لتزوير معلومات هوية التطبيقات الشرعية، مما يحفز المستخدمين على الموافقة على المعاملات الضارة.

حالتين نموذجيتين للهجمات

1. من خلال بروتوكول Wallet Connect للتصيد DApp

المحفظة Connect هو بروتوكول مستخدم على نطاق واسع لربط المحفظة الخاصة بالمستخدم مع التطبيقات اللامركزية (DApp). أظهرت الدراسات أنه خلال عملية الاقتران، تعرض تطبيقات المحفظة المعلومات الوصفية التي توفرها DApp ( مثل الاسم، ورابط الموقع، والرمز، إلخ )، لكنها لا تتحقق من صحة هذه المعلومات.

يمكن للمهاجمين استغلال هذه الثغرة لتزوير معلومات الهوية لتطبيقات DApp المعروفة. على سبيل المثال، يمكن للمهاجمين انتحال تطبيق Uniswap، مما يؤدي إلى خداع المستخدمين للاتصال بالمحفظة والموافقة على معاملات خبيثة.

2. التصيد من خلال MetaMask لعقود المعلومات الذكية

بعض تطبيقات المحفظة ( مثل MetaMask ) ستظهر اسم وظيفة العقد الذكي في واجهة الموافقة على المعاملات. يمكن للمهاجمين تسجيل وظائف عقود ذكية تحمل أسماء مضللة مثل "SecurityUpdate"، مما يجعل المعاملة تبدو وكأنها تحديث أمني رسمي من المحفظة.

من خلال دمج معلومات هوية DApp، يمكن للمهاجم إنشاء طلب معاملة مضلل للغاية، يبدو وكأنه "تحديث أمان" من "MetaMask".

نصائح الأمان

لمواجهة هذا التهديد الجديد، يقترح الخبراء:

1. يجب على مطوري تطبيقات المحفظة أن يفترضوا دائمًا أن البيانات الواردة من الخارج غير موثوقة، ويجب التحقق من شرعية جميع المعلومات المقدمة للمستخدم.

2. يجب أن تأخذ بروتوكولات مثل Wallet Connect في الاعتبار إضافة آلية للتحقق من معلومات DApp.

3. يجب على المستخدمين أن يكونوا حذرين عند الموافقة على أي طلبات معاملات غير معروفة والتحقق بعناية من تفاصيل المعاملة.

4. يجب أن تأخذ تطبيقات المحفظة في الاعتبار تصفية الكلمات الرئيسية التي قد تُستخدم في هجمات التصيد.

باختصار، مع تطور تقنية Web3.0، يحتاج المستخدمون والمطورون إلى تعزيز الوعي بالأمان، والتعاون لمواجهة التهديدات الإلكترونية المتطورة باستمرار.