Ví tiền di động Web3.0 đối mặt với mối đe dọa lừa đảo mới: Tấn công giả mạo
Gần đây, các nhà nghiên cứu an ninh đã phát hiện một kỹ thuật lừa đảo mới nhằm vào Ví tiền di động Web3.0, được gọi là "tấn công lừa đảo theo mô-đun"(Modal Phishing). Phương thức tấn công này lợi dụng cửa sổ mô-đun trong ứng dụng Ví tiền di động, bằng cách hiển thị thông tin gây hiểu lầm để dụ dỗ người dùng phê duyệt giao dịch độc hại.
Mô hình tấn công lừa đảo là gì?
Các cuộc tấn công lừa đảo mô hình chủ yếu nhằm vào việc thao tác các cửa sổ mô hình trong các ứng dụng ví tiền tiền điện tử. Cửa sổ mô hình là một yếu tố giao diện người dùng thường được sử dụng trong các ứng dụng di động, thường hiển thị trên giao diện chính để thực hiện các thao tác nhanh như chấp thuận/từ chối yêu cầu giao dịch.
Trong trường hợp bình thường, cửa sổ mô-đun sẽ hiển thị thông tin danh tính của bên khởi tạo giao dịch, chẳng hạn như địa chỉ trang web, biểu tượng, v.v. Tuy nhiên, kẻ tấn công có thể thao túng các yếu tố UI này, giả mạo thông tin danh tính của ứng dụng hợp pháp, gây nhầm lẫn cho người dùng phê duyệt giao dịch độc hại.
Hai trường hợp tấn công điển hình
1. Thông qua giao thức Wallet Connect để lừa đảo DApp
Ví tiền Connect là một giao thức được sử dụng rộng rãi để kết nối ví của người dùng với ứng dụng phi tập trung (DApp). Nghiên cứu cho thấy, trong quá trình ghép nối, ứng dụng ví sẽ hiển thị thông tin siêu dữ liệu mà DApp cung cấp ( như tên, địa chỉ website, biểu tượng, v.v. ) nhưng không xác minh tính xác thực của những thông tin này.
Kẻ tấn công có thể lợi dụng lỗ hổng này để giả mạo thông tin danh tính của DApp nổi tiếng. Ví dụ, kẻ tấn công có thể giả mạo ứng dụng Uniswap, lừa người dùng kết nối Ví tiền và phê duyệt giao dịch độc hại.
2. Thông tin lừa đảo hợp đồng thông minh qua MetaMask
Một số ứng dụng Ví tiền ( như MetaMask ) sẽ hiển thị tên hàm của hợp đồng thông minh trên giao diện phê duyệt giao dịch. Kẻ tấn công có thể đăng ký các hàm hợp đồng thông minh với tên gọi gây hiểu nhầm, chẳng hạn như "SecurityUpdate", khiến giao dịch trông giống như đến từ bản cập nhật bảo mật chính thức của Ví tiền.
Kết hợp việc thao túng thông tin danh tính DApp, kẻ tấn công có thể tạo ra một yêu cầu giao dịch rất lừa đảo, khiến nó trông như đến từ "MetaMask" với "cập nhật bảo mật".
Lời khuyên an toàn
Để đối phó với mối đe dọa mới này, các chuyên gia khuyên:
Các nhà phát triển ứng dụng Ví tiền nên luôn giả định rằng dữ liệu đầu vào từ bên ngoài là không đáng tin cậy và xác minh tính hợp pháp của tất cả thông tin được trình bày cho người dùng.
Các giao thức như Wallet Connect nên xem xét việc bổ sung cơ chế xác thực thông tin DApp.
Người dùng nên cảnh giác khi chấp thuận bất kỳ yêu cầu giao dịch không xác định nào, và kiểm tra kỹ các chi tiết giao dịch.
Ứng dụng Ví tiền nên xem xét lọc các từ khóa có thể được sử dụng cho các cuộc tấn công Lừa đảo.
Tóm lại, với sự phát triển của công nghệ Web3, cả người dùng và nhà phát triển đều cần nâng cao nhận thức về an toàn, cùng nhau đối phó với những mối đe dọa mạng đang không ngừng tiến hóa.
Trang này có thể chứa nội dung của bên thứ ba, được cung cấp chỉ nhằm mục đích thông tin (không phải là tuyên bố/bảo đảm) và không được coi là sự chứng thực cho quan điểm của Gate hoặc là lời khuyên về tài chính hoặc chuyên môn. Xem Tuyên bố từ chối trách nhiệm để biết chi tiết.
16 thích
Phần thưởng
16
4
Đăng lại
Chia sẻ
Bình luận
0/400
FromMinerToFarmer
· 5giờ trước
Giờ thì tôi đã hoàn toàn mất một người khai thác.
Xem bản gốcTrả lời0
TestnetScholar
· 08-10 16:13
Người làm công lại phải cẩn thận đề phòng bẫy mới rồi.
Xem bản gốcTrả lời0
IronHeadMiner
· 08-10 16:13
Lại có bẫy mới rồi, ví tiền của tôi phải an phận chút thôi.
Ví tiền di động Web3.0遭遇 mô đun lừa đảo tấn công, mối đe dọa lừa đảo mới xuất hiện.
Ví tiền di động Web3.0 đối mặt với mối đe dọa lừa đảo mới: Tấn công giả mạo
Gần đây, các nhà nghiên cứu an ninh đã phát hiện một kỹ thuật lừa đảo mới nhằm vào Ví tiền di động Web3.0, được gọi là "tấn công lừa đảo theo mô-đun"(Modal Phishing). Phương thức tấn công này lợi dụng cửa sổ mô-đun trong ứng dụng Ví tiền di động, bằng cách hiển thị thông tin gây hiểu lầm để dụ dỗ người dùng phê duyệt giao dịch độc hại.
Mô hình tấn công lừa đảo là gì?
Các cuộc tấn công lừa đảo mô hình chủ yếu nhằm vào việc thao tác các cửa sổ mô hình trong các ứng dụng ví tiền tiền điện tử. Cửa sổ mô hình là một yếu tố giao diện người dùng thường được sử dụng trong các ứng dụng di động, thường hiển thị trên giao diện chính để thực hiện các thao tác nhanh như chấp thuận/từ chối yêu cầu giao dịch.
Trong trường hợp bình thường, cửa sổ mô-đun sẽ hiển thị thông tin danh tính của bên khởi tạo giao dịch, chẳng hạn như địa chỉ trang web, biểu tượng, v.v. Tuy nhiên, kẻ tấn công có thể thao túng các yếu tố UI này, giả mạo thông tin danh tính của ứng dụng hợp pháp, gây nhầm lẫn cho người dùng phê duyệt giao dịch độc hại.
Hai trường hợp tấn công điển hình
1. Thông qua giao thức Wallet Connect để lừa đảo DApp
Ví tiền Connect là một giao thức được sử dụng rộng rãi để kết nối ví của người dùng với ứng dụng phi tập trung (DApp). Nghiên cứu cho thấy, trong quá trình ghép nối, ứng dụng ví sẽ hiển thị thông tin siêu dữ liệu mà DApp cung cấp ( như tên, địa chỉ website, biểu tượng, v.v. ) nhưng không xác minh tính xác thực của những thông tin này.
Kẻ tấn công có thể lợi dụng lỗ hổng này để giả mạo thông tin danh tính của DApp nổi tiếng. Ví dụ, kẻ tấn công có thể giả mạo ứng dụng Uniswap, lừa người dùng kết nối Ví tiền và phê duyệt giao dịch độc hại.
2. Thông tin lừa đảo hợp đồng thông minh qua MetaMask
Một số ứng dụng Ví tiền ( như MetaMask ) sẽ hiển thị tên hàm của hợp đồng thông minh trên giao diện phê duyệt giao dịch. Kẻ tấn công có thể đăng ký các hàm hợp đồng thông minh với tên gọi gây hiểu nhầm, chẳng hạn như "SecurityUpdate", khiến giao dịch trông giống như đến từ bản cập nhật bảo mật chính thức của Ví tiền.
Kết hợp việc thao túng thông tin danh tính DApp, kẻ tấn công có thể tạo ra một yêu cầu giao dịch rất lừa đảo, khiến nó trông như đến từ "MetaMask" với "cập nhật bảo mật".
Lời khuyên an toàn
Để đối phó với mối đe dọa mới này, các chuyên gia khuyên:
Các nhà phát triển ứng dụng Ví tiền nên luôn giả định rằng dữ liệu đầu vào từ bên ngoài là không đáng tin cậy và xác minh tính hợp pháp của tất cả thông tin được trình bày cho người dùng.
Các giao thức như Wallet Connect nên xem xét việc bổ sung cơ chế xác thực thông tin DApp.
Người dùng nên cảnh giác khi chấp thuận bất kỳ yêu cầu giao dịch không xác định nào, và kiểm tra kỹ các chi tiết giao dịch.
Ứng dụng Ví tiền nên xem xét lọc các từ khóa có thể được sử dụng cho các cuộc tấn công Lừa đảo.
Tóm lại, với sự phát triển của công nghệ Web3, cả người dùng và nhà phát triển đều cần nâng cao nhận thức về an toàn, cùng nhau đối phó với những mối đe dọa mạng đang không ngừng tiến hóa.