Análise da lógica subjacente à phishing de assinatura Web3
Com o desenvolvimento do ecossistema Web3, o "phishing por assinatura" tornou-se uma das táticas de ataque preferidas dos hackers. Embora especialistas da indústria e empresas de segurança estejam constantemente realizando campanhas de conscientização, milhares de usuários ainda caem em armadilhas todos os dias. Isso se deve principalmente ao fato de que a maioria dos usuários carece de compreensão sobre os mecanismos subjacentes das interações com carteiras, e para não especialistas, o nível de dificuldade para aprender o conhecimento relevante é bastante elevado.
Para que mais pessoas compreendam e previnam esse risco, iremos explicar de forma simples e compreensível as duas modalidades básicas de operação de uma carteira Web3: "assinatura" e "interação".
A assinatura é uma operação que ocorre fora da blockchain, não necessitando do pagamento de taxas de Gas. Geralmente é utilizada para autenticação, como ao fazer login em uma carteira ou conectar-se a uma aplicação descentralizada (DApp). Por exemplo, quando você deseja trocar tokens em algum DEX, primeiro precisa conectar a carteira, o que envolve uma operação de assinatura, informando ao site "Eu sou o proprietário desta carteira". Este processo não afeta a blockchain, portanto não há custos.
A interação é uma operação executada diretamente na blockchain, que requer o pagamento de taxas de Gas. Tomando como exemplo a troca de tokens em uma DEX, você primeiro precisa autorizar (approve) o contrato inteligente a usar seus tokens, e então executar a operação de troca real. Ambas as etapas requerem o pagamento de taxas de Gas.
Depois de entender a diferença entre esses dois tipos de operações, vamos olhar para as três formas comuns de phishing: phishing de autorização, phishing de assinatura Permit e phishing de assinatura Permit2.
A autorização de phishing é realizada utilizando o mecanismo de approve. Os hackers podem criar um site de phishing disfarçado como um projeto de NFT, induzindo os usuários a clicar no botão "reclamar airdrop". Na realidade, essa operação acionará um pedido de autorização, permitindo que os hackers controlem os tokens dos usuários. No entanto, como essa operação requer o pagamento de taxas de Gas, os usuários tendem a ficar mais atentos, tornando esse método de phishing relativamente fácil de ser reconhecido.
A assinatura de Permit e Permit2 para phishing é ainda mais discreta, pois aproveita a confiança do usuário nas operações de assinatura. Permit é uma funcionalidade expandida do padrão ERC-20, que permite aos usuários autorizar terceiros a mover seus tokens através de uma assinatura. Os hackers podem induzir os usuários a assinar uma mensagem que parece inofensiva, mas que na verdade é uma "licença" que autoriza os hackers a transferir os ativos do usuário.
Permit2 é uma funcionalidade lançada por uma DEX, destinada a simplificar as operações dos usuários e reduzir as taxas de Gas. No entanto, se um usuário já tiver utilizado essa DEX e concedido um limite infinito, uma vez que assine uma mensagem Permit2 maliciosa, um hacker poderá facilmente transferir os ativos do usuário.
Para prevenir esses riscos, os usuários devem:
Desenvolver a consciência de segurança, verificando cuidadosamente a cada operação na carteira.
Separe os grandes fundos da carteira que usa diariamente, reduzindo assim as perdas potenciais.
Aprenda a reconhecer o formato de assinatura do Permit e Permit2, incluindo informações como o URL de interação, endereço do autorizador, endereço do autorizado, quantidade autorizada, número aleatório e data de expiração.
Em suma, os utilizadores de Web3 precisam de estar sempre atentos e compreender profundamente o significado de cada operação para proteger a segurança dos seus ativos digitais.
Esta página pode conter conteúdos de terceiros, que são fornecidos apenas para fins informativos (sem representações/garantias) e não devem ser considerados como uma aprovação dos seus pontos de vista pela Gate, nem como aconselhamento financeiro ou profissional. Consulte a Declaração de exoneração de responsabilidade para obter mais informações.
11 gostos
Recompensa
11
6
Partilhar
Comentar
0/400
ApeWithNoChain
· 17h atrás
idiotas olharam tanto para cima que ficaram insensíveis...
Ver originalResponder0
WalletDetective
· 17h atrás
A interação de assinatura e tal está a matar-me.
Ver originalResponder0
RektCoaster
· 17h atrás
Já não dá outra vez, vou ter um acidente mais tarde.
Análise de ataques de phishing com assinatura Web3: desde os mecanismos subjacentes até as estratégias de prevenção
Análise da lógica subjacente à phishing de assinatura Web3
Com o desenvolvimento do ecossistema Web3, o "phishing por assinatura" tornou-se uma das táticas de ataque preferidas dos hackers. Embora especialistas da indústria e empresas de segurança estejam constantemente realizando campanhas de conscientização, milhares de usuários ainda caem em armadilhas todos os dias. Isso se deve principalmente ao fato de que a maioria dos usuários carece de compreensão sobre os mecanismos subjacentes das interações com carteiras, e para não especialistas, o nível de dificuldade para aprender o conhecimento relevante é bastante elevado.
Para que mais pessoas compreendam e previnam esse risco, iremos explicar de forma simples e compreensível as duas modalidades básicas de operação de uma carteira Web3: "assinatura" e "interação".
A assinatura é uma operação que ocorre fora da blockchain, não necessitando do pagamento de taxas de Gas. Geralmente é utilizada para autenticação, como ao fazer login em uma carteira ou conectar-se a uma aplicação descentralizada (DApp). Por exemplo, quando você deseja trocar tokens em algum DEX, primeiro precisa conectar a carteira, o que envolve uma operação de assinatura, informando ao site "Eu sou o proprietário desta carteira". Este processo não afeta a blockchain, portanto não há custos.
A interação é uma operação executada diretamente na blockchain, que requer o pagamento de taxas de Gas. Tomando como exemplo a troca de tokens em uma DEX, você primeiro precisa autorizar (approve) o contrato inteligente a usar seus tokens, e então executar a operação de troca real. Ambas as etapas requerem o pagamento de taxas de Gas.
Depois de entender a diferença entre esses dois tipos de operações, vamos olhar para as três formas comuns de phishing: phishing de autorização, phishing de assinatura Permit e phishing de assinatura Permit2.
A autorização de phishing é realizada utilizando o mecanismo de approve. Os hackers podem criar um site de phishing disfarçado como um projeto de NFT, induzindo os usuários a clicar no botão "reclamar airdrop". Na realidade, essa operação acionará um pedido de autorização, permitindo que os hackers controlem os tokens dos usuários. No entanto, como essa operação requer o pagamento de taxas de Gas, os usuários tendem a ficar mais atentos, tornando esse método de phishing relativamente fácil de ser reconhecido.
A assinatura de Permit e Permit2 para phishing é ainda mais discreta, pois aproveita a confiança do usuário nas operações de assinatura. Permit é uma funcionalidade expandida do padrão ERC-20, que permite aos usuários autorizar terceiros a mover seus tokens através de uma assinatura. Os hackers podem induzir os usuários a assinar uma mensagem que parece inofensiva, mas que na verdade é uma "licença" que autoriza os hackers a transferir os ativos do usuário.
Permit2 é uma funcionalidade lançada por uma DEX, destinada a simplificar as operações dos usuários e reduzir as taxas de Gas. No entanto, se um usuário já tiver utilizado essa DEX e concedido um limite infinito, uma vez que assine uma mensagem Permit2 maliciosa, um hacker poderá facilmente transferir os ativos do usuário.
Para prevenir esses riscos, os usuários devem:
Em suma, os utilizadores de Web3 precisam de estar sempre atentos e compreender profundamente o significado de cada operação para proteger a segurança dos seus ativos digitais.