Ostrzeżenie bezpieczeństwa WEEX — oszustwo związane z fałszywym zatwierdzaniem

Czym jest oszustwo związane z fałszywym zatwierdzaniem?

Oszustwa związane z fałszywym zatwierdzaniem należą do najpowszechniejszych i najbardziej szkodliwych zagrożeń w świecie Web3, dotykając niezliczonych użytkowników.

W Web3 podczas interakcji ze smart kontraktem często wymagane jest udzielenie uprawnień poprzez podpisanie transakcji. Typowe przykłady to:

• zatwierdzenie dostępu dApp do Twoich tokenów;
• udzielenie kontraktowi zgody na transfer Twoich NFT;
• wykonywanie pozornie nieszkodliwych działań, takich jak logowanie lub weryfikacja własności

Oszustwa związane z fałszywym zatwierdzaniem wykorzystują te czynności, nakłaniając użytkowników do udzielenia szkodliwym kontraktom uprawnień do przenoszenia ich aktywów.

Najważniejsze cechy

1. Oszuści podszywają się pod oficjalne dApp, airdropy lub projekty NFT i podstępem zmuszają użytkowników do udzielania niebezpiecznych uprawnień. Zachęcają użytkowników do kliknięcia przycisku „Zatwierdź”, który w rzeczywistości pozwala na wykonywanie złośliwych działań, takich jak dostęp do tokenów lub NFT.
2. Oszuści kradną środki bez przelewu: Nie wysłałeś niczego, po prostu kliknąłeś przycisk „”Zatwierdź”. Jednak po udzieleniu zgody atakujący mogą w dowolnym momencie przenieść Twoje aktywa bez konieczności podejmowania przez Ciebie dalszych działań.
3. Zatwierdzenia są często nieograniczone: Większość złośliwych kontraktów wymaga maksymalnych możliwych uprawnień, które zapewniają im stały i nieograniczony dostęp do Twoich tokenów lub NFT.
4. Kontrakt działa pasywnie: Złośliwe kontrakty same nie inicjują kradzieży. Opierają się one wyłącznie na dobrowolnym podpisywaniu zatwierdzeń przez użytkowników, co pomaga im uniknąć konwencjonalnych ostrzeżeń dotyczących bezpieczeństwa.
5. Wprowadzające w błąd okna podpisu: Okna zatwierdzania w portfelach bywają zbyt techniczne lub zbyt uproszczone, przez co trudno zrozumieć, co faktycznie podpisujesz. Wielu użytkowników zakłada, że jest to nieszkodliwe upoważnienie i zatwierdza, nie zdając sobie sprawy z ryzyka.

Typowe scenariusze

1. Fałszywe strony internetowe dotyczące airdropów lub mintowania NFT promują „ograniczone airdropy” lub „bezpłatne mintowanie”. Kliknięcie przycisku wyzwala prośbę o zatwierdzenie dostępu do tokenów lub NFT. Po zatwierdzeniu oszuści mogą w każdej chwili opróżnić Twój portfel.
2. Fałszywe DEX-y lub platformy wymiany: Podłączasz swój portfel do fałszywej, zdecentralizowanej giełdy w celu wymiany tokenów. Zamiast wykonać transakcję, strona nakłania Cię do zatwierdzenia dostępu do tokenów. Następnie Twoje środki zostają skradzione.
3. Fałszywe platformy stakingowe lub gamingowe: Zostajesz poproszony o „stakowanie tokenów” lub „rozpoczęcie gry” na fałszywej platformie DeFi lub GameFi. Strona prosi o zatwierdzenie dostępu do Twoich tokenów lub NFT – ale cała platforma jest fałszywa.
4. Zhakowane frontendy legalnych projektów: Atakujący przejmują zaufane strony internetowe lub rekordy DNS, aby zastąpić kontrakty złośliwymi. Użytkownicy wierzą, że używają prawdziwego dApp, ale faktycznie nadają szkodliwe uprawnienia.
5. Fałszywa obsługa klienta lub dokumentacja: Fałszywy konsultant wysyła link rzekomo do „rozwiązania problemu”. Strona prosi o zatwierdzenie kontraktu zaprojektowanego do kradzieży aktywów.

Jak to działa

Główna idea złośliwych zatwierdzeń jest prosta:

Wykorzystuje ona brak świadomości użytkowników na temat uprawnień on-chain. Wprowadzając użytkownika w błąd i nakłaniając go do udzielenia zgody, oszuści przejmują kontrolę nad jego aktywami i kradną je bez jego wiedzy.

Proces techniczny

Typowe oszustwo związane z fałszywym zatwierdzaniem przebiega następująco:

1. Oszust wdraża złośliwy kontrakt (sam z siebie nie inicjuje transferów).
2. Użytkownik zostaje podstępem nakłoniony do zainicjowania zatwierdzenia (w celu uzyskania dostępu do tokenów).
3. Gdy użytkownik to zrobi, aktywa pozostają tymczasowo w portfelu.
4. Oszuści używają funkcji, aby przenieść środki do swojego portfela.
5. Ponieważ transakcja jest zatwierdzona przez użytkownika, jest ona uznawana za ważną i nie jest blokowana.

Najlepsze praktyki, aby się chronić

Uważaj na te sygnały ostrzegawcze, aby uniknąć złośliwych zatwierdzeń:

• Aplikacja dApp nie ma rzeczywistej funkcjonalności — wyświetla tylko monit o zatwierdzenie.
• Wymaga dostępu do aktywów o wysokiej wartości, takich jak ETH, stablecoiny lub NFT.
• Zatwierdzenie nie ma limitu wydatków.
• Okno podpisu pokazuje operacje wysokiego ryzyka.
• Strona wydaje się nieprofesjonalna lub naśladuje znany projekt.
• Unikaj klikania przypadkowych linków lub zatwierdzania próśb z niezweryfikowanych źródeł, takich jak wiadomości prywatne na Telegramie lub odpowiedzi na Twitterze.

Podsumowanie

Jeśli czegoś nie rozumiesz, nie podpisuj tego. Jeśli nie jest to transakcja, pomyśl dwa razy przed zatwierdzeniem.

W przypadku zwykłych użytkowników zatwierdzanie uprawnień smart kontraktów powinno odbywać się z najwyższą ostrożnością. Przyjmij podejście „bezpieczeństwo przede wszystkim”: traktuj każde zatwierdzenie jako potencjalny transfer środków. Zawsze dokładnie sprawdzaj i weryfikuj każde upoważnienie przed podpisaniem.

Więcej informacji

• Ostrzeżenie bezpieczeństwa WEEX — tokeny wysokiego ryzyka
• Ostrzeżenie bezpieczeństwa WEEX – spoofing SMS
• Ostrzeżenie bezpieczeństwa WEEX — media społecznościowe i fora internetowe
• Ostrzeżenie bezpieczeństwa WEEX — najczęstsze oszustwa kryptowalutowe