ประกาศแจ้งเตือนความปลอดภัย WEEX — กลโกงการอนุมัติที่เป็นอันตราย

กลโกงการอนุมัติแบบมุ่งร้ายคืออะไร?

กลโกงการอนุมัติแบบมุ่งร้ายเป็นหนึ่งในภัยคุกคามที่แพร่หลายและสร้างความเสียหายมากที่สุดในโลก Web3 ส่งผลกระทบต่อผู้ใช้จำนวนนับไม่ถ้วน

ใน Web3 เมื่อคุณโต้ตอบกับสัญญาอัจฉริยะ คุณมักต้องมอบสิทธิ์ด้วยการลงนามในธุรกรรม ตัวอย่างที่พบบ่อย ได้แก่:

• อนุมัติให้dApp เข้าถึงโทเคนของคุณ
• มอบสิทธิ์ให้สัญญาโอน NFT ของคุณ
• ดำเนินการที่ดูเหมือนไม่มีอันตราย เช่น การเข้าสู่ระบบหรือการยืนยันความเป็นเจ้าของ

กลโกงการอนุมัติแบบมุ่งร้ายใช้ประโยชน์จากการดำเนินการเหล่านี้ โดยหลอกให้ผู้ใช้มอบสิทธิ์แก่สัญญาที่เป็นอันตรายเพื่อโอนสินทรัพย์ของตน

ลักษณะสำคัญ

1. หลอกให้ผู้ใช้มอบสิทธิ์ที่เป็นอันตราย ผู้หลอกลวงปลอมตัวเป็นdApps ที่ถูกต้องตามกฎหมาย แคมเปญแจกเหรียญ หรือโปรเจกต์NFT พวกเขาล่อลวงให้ผู้ใช้คลิกปุ่ม “Approve” ซึ่งแท้จริงแล้วเป็นการอนุญาตการดำเนินการที่เป็นอันตราย เช่น การเข้าถึงโทเคนหรือ NFT
2. สินทรัพย์ถูกดูดออกไปโดยไม่มีการโอน คุณไม่ได้ส่งอะไรเลย—เพียงคลิก “Confirm” เท่านั้น แต่เมื่อได้รับการอนุมัติแล้ว ผู้โจมตีสามารถโอนสินทรัพย์ของคุณได้ทุกเมื่อโดยไม่ต้องดำเนินการใดเพิ่มเติมจากคุณ
3. การอนุมัติมักไม่มีขีดจำกัด สัญญาที่เป็นอันตรายส่วนใหญ่ขอวงเงินอนุญาตสูงสุดเท่าที่เป็นไปได้ ทำให้มีสิทธิ์เข้าถึงโทเคนหรือ NFT ของคุณอย่างถาวรและไม่มีข้อจำกัด
4. สัญญาจะไม่ทำงานเชิงรุก สัญญาหลอกลวงไม่ได้ขโมยเงินโดยตรง แต่พึ่งพาผู้ใช้ที่ลงนามอนุมัติด้วยตนเองทั้งหมด ซึ่งช่วยให้หลบเลี่ยงคำเตือนด้านความปลอดภัยทั่วไปได้
5. คำขอลงนามทำให้เข้าใจผิด หน้าต่างขออนุมัติของกระเป๋าเงินมักมีรายละเอียดทางเทคนิคมากเกินไปหรือเรียบง่ายเกินไป ทำให้เข้าใจสิ่งที่กำลังลงนามได้ยาก ผู้ใช้จำนวนมากคิดว่าเป็นการอนุญาตที่ไม่มีอันตรายและกดยืนยันโดยไม่ตระหนักถึงความเสี่ยง

สถานการณ์ที่พบบ่อย

1. หน้าแจก แอร์ดรอป หรือ Mint NFT ปลอม เว็บไซต์เหล่านี้โปรโมต “แอร์ดรอปแบบจำกัดจำนวน” หรือ “Mint ฟรี” การคลิกปุ่มจะเรียกคำขอให้อนุมัติการเข้าถึงโทเคนหรือ NFT เมื่ออนุมัติแล้ว ผู้หลอกลวงสามารถดูดสินทรัพย์ของคุณออกไปได้ทุกเมื่อ
2. แพลตฟอร์ม DEX หรือ Swap ปลอม คุณเชื่อมต่อกระเป๋าเงินกับกระดานแลกเปลี่ยนแบบกระจายศูนย์ปลอมเพื่อ Swap โทเคน แทนที่จะดำเนินการซื้อขาย เว็บไซต์กลับหลอกให้คุณอนุมัติการเข้าถึงโทเคน จากนั้นเงินของคุณจะถูกขโมย
3. แพลตฟอร์ม Staking หรือเกมปลอม คุณได้รับแจ้งให้ “Stake โทเคน” หรือ “เริ่มเล่น” บนแพลตฟอร์มDeFi หรือGameFi ที่หลอกลวง เว็บไซต์จะขออนุมัติโทเคนหรือ NFT ของคุณ—แต่ทั้งแพลตฟอร์มนั้นเป็นของปลอม
4. หน้าเว็บไซต์ที่ถูกแฮ็กของโปรเจกต์ที่ถูกต้องตามกฎหมาย ผู้โจมตีเจาะเว็บไซต์ที่น่าเชื่อถือหรือยึดครองระเบียน DNS เพื่อแทนที่สัญญาที่ถูกต้องด้วยสัญญามุ่งร้าย ผู้ใช้คิดว่ากำลังใช้งาน dApp จริง แต่แท้จริงแล้วกำลังอนุมัติสิทธิ์ที่เป็นอันตราย
5. ฝ่ายสนับสนุนลูกค้าหรือเอกสารประกอบปลอม เจ้าหน้าที่ฝ่ายสนับสนุนปลอมส่งลิงก์โดยอ้างว่าจะ “ช่วยแก้ไขปัญหา” หน้าเว็บดังกล่าวขอให้คุณอนุมัติสัญญา ซึ่งแท้จริงแล้วถูกออกแบบมาเพื่อขโมยสินทรัพย์ของคุณ

วิธีการทำงาน

แนวคิดหลักเบื้องหลังการอนุมัติที่เป็นอันตรายนั้นเรียบง่าย:

กลโกงนี้ใช้ประโยชน์จากการที่ผู้ใช้ขาดความตระหนักเกี่ยวกับสิทธิ์บนบล็อกเชน ด้วยการหลอกให้คุณมอบสิทธิ์อนุมัติ ผู้หลอกลวงจะควบคุมสินทรัพย์ของคุณและขโมยไปโดยที่คุณไม่รู้ตัว

กระบวนการทางเทคนิค

กลโกงการอนุมัติแบบมุ่งร้ายโดยทั่วไปมีขั้นตอนดังนี้:

1. ผู้หลอกลวงปรับใช้สัญญามุ่งร้าย (ซึ่งไม่ได้เริ่มการโอนด้วยตัวเอง)
2. ผู้ใช้ถูกหลอกให้เรียกใช้การอนุมัติ (สำหรับโทเคน)
3. การอนุมัติเสร็จสมบูรณ์—สินทรัพย์ยังคงอยู่ในกระเป๋าเงินชั่วคราว
4. ผู้หลอกลวงใช้ฟังก์ชันต่าง ๆ เพื่อย้ายเงินไปยังกระเป๋าเงินของตน
5. เนื่องจากธุรกรรมได้รับการอนุมัติจากผู้ใช้ จึงถือว่าถูกต้องและไม่ถูกบล็อก

แนวทางปฏิบัติที่ดีที่สุดเพื่อปกป้องตนเอง

ระวังสัญญาณอันตรายเหล่านี้เพื่อหลีกเลี่ยงการอนุมัติที่เป็นอันตราย:

• dApp ไม่มีฟังก์ชันการใช้งานจริง แต่มีเพียงการขออนุมัติเท่านั้น
• มีการขอเข้าถึงสินทรัพย์มูลค่าสูง เช่น ETH, เหรียญ Stablecoin หรือ NFT
• การอนุมัติไม่มีขีดจำกัดการใช้จ่าย
• ป๊อปอัปการลงนามแสดงการดำเนินการที่มีความเสี่ยงสูง
• เว็บไซต์ดูไม่เป็นมืออาชีพหรือเลียนแบบโปรเจกต์ที่เป็นที่รู้จัก
• หลีกเลี่ยงการคลิกลิงก์สุ่มหรืออนุมัติคำขอจากแหล่งที่ยังไม่ได้รับการยืนยัน เช่น ข้อความส่วนตัวใน Telegram หรือการตอบกลับบน Twitter

สรุป

หากคุณไม่เข้าใจ ก็อย่าลงนาม หากไม่ใช่การเทรด ให้คิดให้รอบคอบก่อนอนุมัติ

สำหรับผู้ใช้ทั่วไป การอนุมัติสิทธิ์ของสัญญาอัจฉริยะควรทำด้วยความระมัดระวังเป็นอย่างยิ่ง ปรับใช้แนวคิดที่ให้ความปลอดภัยเป็นอันดับแรก: ถือว่าการอนุมัติทุกครั้งอาจเป็นการโอนเงิน ตรวจสอบและพิจารณาการอนุญาตทุกครั้งอย่างละเอียดก่อนลงนาม

อ่านเพิ่มเติม

• ประกาศแจ้งเตือนความปลอดภัย WEEX — โทเคนความเสี่ยงสูง
• ประกาศแจ้งเตือนความปลอดภัย WEEX — การปลอมแปลง SMS
• ประกาศแจ้งเตือนความปลอดภัย WEEX — โซเชียลมีเดียและฟอรัมออนไลน์
• ประกาศแจ้งเตือนความปลอดภัย WEEX — กลโกงคริปโตเคอร์เรนซีที่พบบ่อย