Analyse de la logique sous-jacente du phishing par signature Web3
Avec le développement de l'écosystème Web3, le "phishing par signature" est devenu l'une des méthodes d'attaque préférées des hackers. Bien que les experts du secteur et les entreprises de sécurité continuent de sensibiliser le public, un grand nombre d'utilisateurs tombent toujours dans le piège chaque jour. Cela est principalement dû au fait que la plupart des utilisateurs manquent de compréhension des mécanismes sous-jacents des interactions avec les portefeuilles, et que pour les non-techniciens, le seuil d'apprentissage des connaissances pertinentes est assez élevé.
Pour permettre à un plus grand nombre de personnes de comprendre et de se prémunir contre ce risque, nous allons expliquer de manière simple et accessible les deux modes de fonctionnement fondamentaux des portefeuilles Web3 : "signature" et "interaction".
La signature est une opération qui se déroule en dehors de la blockchain et ne nécessite pas de frais de Gas. Elle est généralement utilisée pour l'authentification, comme la connexion à un portefeuille ou à une application décentralisée (DApp). Par exemple, lorsque vous souhaitez échanger des jetons sur un DEX, vous devez d'abord connecter votre portefeuille, ce qui implique une opération de signature pour informer le site "Je suis le propriétaire de ce portefeuille". Ce processus n'a aucun impact sur la blockchain, donc aucun frais n'est nécessaire.
L'interaction est une opération effectuée directement sur la blockchain, nécessitant le paiement de frais de Gas. Prenons l'exemple de l'échange de jetons sur un DEX, vous devez d'abord autoriser (approve) le contrat intelligent à utiliser vos jetons, puis exécuter l'opération d'échange réelle. Ces deux étapes nécessitent le paiement de frais de Gas.
Après avoir compris la différence entre ces deux types d'opérations, examinons les trois méthodes de phishing les plus courantes : le phishing d'autorisation, le phishing de signature Permit et le phishing de signature Permit2.
L'hameçonnage par autorisation se fait via le mécanisme d'approbation. Les hackers peuvent créer un site de phishing déguisé en projet NFT, incitant les utilisateurs à cliquer sur le bouton "Recevoir l'airdrop". En réalité, cette opération déclenche une demande d'autorisation, permettant aux hackers de contrôler les jetons de l'utilisateur. Cependant, comme cette opération nécessite de payer des frais de Gas, les utilisateurs sont souvent plus vigilants, rendant ce type de phishing relativement facile à identifier.
Les signatures Permit et Permit2 sont encore plus discrètes en matière de phishing, car elles exploitent la confiance des utilisateurs dans les opérations de signature. Permit est une fonctionnalité d'extension de la norme ERC-20 qui permet aux utilisateurs d'autoriser d'autres à déplacer leurs jetons par le biais d'une signature. Les hackers peuvent inciter les utilisateurs à signer un message apparemment inoffensif, qui est en réalité un "permis" autorisant les hackers à transférer les actifs des utilisateurs.
Permit2 est une fonctionnalité lancée par un certain DEX, visant à simplifier les opérations des utilisateurs et à réduire les frais de Gas. Cependant, si un utilisateur a déjà utilisé ce DEX et a accordé un plafond illimité, alors une fois qu'un message Permit2 malveillant est signé, un hacker peut facilement transférer les actifs de l'utilisateur.
Pour prévenir ces risques, les utilisateurs devraient :
Développez une conscience de la sécurité, vérifiez attentivement chaque opération de portefeuille.
Séparer les fonds importants des portefeuilles utilisés au quotidien pour réduire les pertes potentielles.
Apprenez à identifier le format de signature de Permit et Permit2, y compris l'URL d'interaction, l'adresse de l'autorisateur, l'adresse du bénéficiaire, le montant autorisé, le nombre aléatoire et la date d'expiration, etc.
En résumé, les utilisateurs de Web3 doivent rester vigilants et comprendre en profondeur la signification de chaque opération afin de protéger la sécurité de leurs actifs numériques.
Cette page peut inclure du contenu de tiers fourni à des fins d'information uniquement. Gate ne garantit ni l'exactitude ni la validité de ces contenus, n’endosse pas les opinions exprimées, et ne fournit aucun conseil financier ou professionnel à travers ces informations. Voir la section Avertissement pour plus de détails.
11 J'aime
Récompense
11
6
Partager
Commentaire
0/400
ApeWithNoChain
· Il y a 17h
pigeons regardent beaucoup, ils sont tous engourdis...
Voir l'originalRépondre0
WalletDetective
· Il y a 17h
Les interactions de signature me bloquent complètement.
Voir l'originalRépondre0
RektCoaster
· Il y a 17h
Ça ne marche plus, ça va mal tourner tout à l'heure.
Voir l'originalRépondre0
JustAnotherWallet
· Il y a 17h
J'ai encore été trompé plusieurs fois.
Voir l'originalRépondre0
TokenUnlocker
· Il y a 17h
Ah débutant ne grandira jamais.
Voir l'originalRépondre0
AirdropHunterWang
· Il y a 17h
Encore une journée d'attaque sournoise dans le dos gg
Analyse des attaques par hameçonnage de signatures Web3 : des mécanismes sous-jacents aux stratégies de prévention
Analyse de la logique sous-jacente du phishing par signature Web3
Avec le développement de l'écosystème Web3, le "phishing par signature" est devenu l'une des méthodes d'attaque préférées des hackers. Bien que les experts du secteur et les entreprises de sécurité continuent de sensibiliser le public, un grand nombre d'utilisateurs tombent toujours dans le piège chaque jour. Cela est principalement dû au fait que la plupart des utilisateurs manquent de compréhension des mécanismes sous-jacents des interactions avec les portefeuilles, et que pour les non-techniciens, le seuil d'apprentissage des connaissances pertinentes est assez élevé.
Pour permettre à un plus grand nombre de personnes de comprendre et de se prémunir contre ce risque, nous allons expliquer de manière simple et accessible les deux modes de fonctionnement fondamentaux des portefeuilles Web3 : "signature" et "interaction".
La signature est une opération qui se déroule en dehors de la blockchain et ne nécessite pas de frais de Gas. Elle est généralement utilisée pour l'authentification, comme la connexion à un portefeuille ou à une application décentralisée (DApp). Par exemple, lorsque vous souhaitez échanger des jetons sur un DEX, vous devez d'abord connecter votre portefeuille, ce qui implique une opération de signature pour informer le site "Je suis le propriétaire de ce portefeuille". Ce processus n'a aucun impact sur la blockchain, donc aucun frais n'est nécessaire.
L'interaction est une opération effectuée directement sur la blockchain, nécessitant le paiement de frais de Gas. Prenons l'exemple de l'échange de jetons sur un DEX, vous devez d'abord autoriser (approve) le contrat intelligent à utiliser vos jetons, puis exécuter l'opération d'échange réelle. Ces deux étapes nécessitent le paiement de frais de Gas.
Après avoir compris la différence entre ces deux types d'opérations, examinons les trois méthodes de phishing les plus courantes : le phishing d'autorisation, le phishing de signature Permit et le phishing de signature Permit2.
L'hameçonnage par autorisation se fait via le mécanisme d'approbation. Les hackers peuvent créer un site de phishing déguisé en projet NFT, incitant les utilisateurs à cliquer sur le bouton "Recevoir l'airdrop". En réalité, cette opération déclenche une demande d'autorisation, permettant aux hackers de contrôler les jetons de l'utilisateur. Cependant, comme cette opération nécessite de payer des frais de Gas, les utilisateurs sont souvent plus vigilants, rendant ce type de phishing relativement facile à identifier.
Les signatures Permit et Permit2 sont encore plus discrètes en matière de phishing, car elles exploitent la confiance des utilisateurs dans les opérations de signature. Permit est une fonctionnalité d'extension de la norme ERC-20 qui permet aux utilisateurs d'autoriser d'autres à déplacer leurs jetons par le biais d'une signature. Les hackers peuvent inciter les utilisateurs à signer un message apparemment inoffensif, qui est en réalité un "permis" autorisant les hackers à transférer les actifs des utilisateurs.
Permit2 est une fonctionnalité lancée par un certain DEX, visant à simplifier les opérations des utilisateurs et à réduire les frais de Gas. Cependant, si un utilisateur a déjà utilisé ce DEX et a accordé un plafond illimité, alors une fois qu'un message Permit2 malveillant est signé, un hacker peut facilement transférer les actifs de l'utilisateur.
Pour prévenir ces risques, les utilisateurs devraient :
En résumé, les utilisateurs de Web3 doivent rester vigilants et comprendre en profondeur la signification de chaque opération afin de protéger la sécurité de leurs actifs numériques.