Новая тенденция мошенничества в Блокчейн: Протокол становится оружием злоумышленников
Криптовалюты и технологии Блокчейн меняют финансовую систему, но также создают новые вызовы безопасности. Мошенники больше не ограничиваются использованием уязвимостей технологий, а превращают сами протоколы умных контрактов Блокчейн в инструменты атаки. Они используют тщательно спроектированные ловушки социальной инженерии, сочетая прозрачность и необратимость Блокчейн, превращая доверие пользователей в инструмент для кражи активов. От подделки умных контрактов до манипуляции кроссчейн-транзакциями, эти атаки не только скрытны и трудны для обнаружения, но также более обманчивы из-за своей "легитимной" оболочки. Эта статья проанализирует примеры, чтобы раскрыть, как мошенники превращают протоколы в средства атаки, и предложит комплексные стратегии защиты.
Один. Как легальный протокол превращается в инструмент мошенничества
Первоначальная цель Блокчейн Протокола заключается в обеспечении безопасности и доверия, однако мошенники используют его особенности, сочетая с небрежностью пользователей, создавая различные скрытые способы атак. Вот некоторые распространенные приемы и их технические детали:
(1) Злоумышленное авторизация смарт-контракта
Технические принципы:
Стандарт токенов ERC-20 позволяет пользователям через функцию "Approve" уполномочить третью сторону извлекать определенное количество токенов из их кошелька. Эта функция широко используется в протоколах DeFi, но также используется мошенниками.
Способ работы:
Мошенники создают DApp, маскирующийся под легальный проект, и заманивают пользователей подключать кошелек и предоставлять разрешение. На поверхности это выглядит как разрешение на небольшое количество токенов, но на самом деле это может быть неограниченный объем. Как только разрешение получено, мошенники могут в любое время извлекать все соответствующие токены из кошелька пользователя.
Пример:
В начале 2023 года фишинговый сайт, замаскировавшийся под «обновление某DEX», привёл к тому, что сотни пользователей потеряли огромные суммы USDT и ETH. Эти транзакции полностью соответствовали стандарту ERC-20, и жертвам было трудно вернуть средства через судебные органы.
(2) Подпись Фишинг
Технический принцип:
Блокчейн-транзакции требуют от пользователей генерации подписей с помощью приватного ключа. Мошенники используют этот процесс для подделки запросов на подпись с целью кражи активов.
Способ работы:
Пользователи получают сообщения, замаскированные под официальные уведомления, и их направляют на вредоносный сайт для "верификации". На самом деле они могут подписать сделки на передачу активов или авторизацию контроля над NFT.
Пример:
Сообщество известного NFT проекта подверглось атаке с использованием фишинга по подписям, в результате чего несколько пользователей потеряли NFT на сумму в несколько миллионов долларов из-за подписания поддельных транзакций "получения аирдропа". Злоумышленники использовали стандарт подписи EIP-712, подделав запрос, который выглядел безопасным.
(3) Ложные токены и "атака пыли"
Технический принцип:
Открытость Блокчейна позволяет любому отправлять токены на любой адрес. Мошенники используют это, отправляя небольшое количество криптовалюты для отслеживания активности кошельков.
Способ работы:
Мошенники отправляют мелкие токены на несколько адресов, которые могут иметь вводящие в заблуждение названия. Когда пользователи пытаются их обналичить, злоумышленники могут получить доступ к кошельку. Кроме того, анализируя последующие транзакции, мошенники могут определить активные адреса пользователей и осуществлять более точные мошенничества.
Пример:
На сети Эфириума произошла атака "пылью GAS-токенов", затронувшая тысячи кошельков. Некоторые пользователи из любопытства взаимодействовали и потеряли ETH и другие токены.
Два, причины, по которым эти мошенничества трудно выявить
Эти мошенничества успешны, в первую очередь потому, что они скрываются в легитимных механизмах Блокчейн, и обычным пользователям сложно распознать их злонамеренную природу. Ключевые причины включают:
Техническая сложность: Код смарт-контракта и запросы на подпись难以理解 для нетехнических пользователей.
Законность на блокчейне: все транзакции записываются в Блокчейн, что кажется прозрачным, но жертвы часто осознают проблему только позже.
Социальная инженерия: мошенники используют человеческие слабости, такие как жадность, страх или доверие.
Умелая маскировка: Фишинговые сайты могут использовать URL, очень похожие на официальный домен, даже увеличивая доверие с помощью сертификатов HTTPS.
Три. Как защитить ваш криптовалютный кошелек
Столкнувшись с этими мошенничествами, сочетающими в себе технические и психологические войны, защита активов требует многоуровневой стратегии:
Проверьте и управляйте разрешениями авторизации
Используйте профессиональные инструменты для проверки записей авторизации кошелька
Регулярно отменяйте ненужные полномочия, особенно безлимитные полномочия на неизвестные адреса
Перед каждым авторизацией убедитесь, что источник DApp надежен
Проверка ссылок и источников
Введите официальный URL вручную, чтобы избежать нажатия на ссылки в социальных сетях или электронных письмах.
Тщательно проверьте доменное имя сайта и SSL-сертификат
Использование холодного кошелька и многоподписей
Храните большую часть активов в аппаратных кошельках
Используйте инструменты мультиподписей для крупных активов, требуя подтверждения транзакции несколькими ключами
Осторожно обрабатывайте запросы на подпись
Внимательно прочитайте детали транзакции в всплывающем окне кошелька
Используйте профессиональные инструменты для анализа содержимого подписи или проконсультируйтесь с техническим экспертом
Создайте независимый кошелек для высокорисковых операций, храните только небольшое количество активов
Противодействие атаке пыли
После получения неизвестных токенов не взаимодействуйте.
Подтвердите источник токена через Блокчейн-обозреватель
Избегайте публичного адреса кошелька или используйте новый адрес для проведения конфиденциальных операций
Заключение
Внедрение указанных выше мер безопасности может значительно снизить риск стать жертвой сложных мошеннических схем. Однако настоящая безопасность не зависит только от технологий. Когда аппаратные кошельки создают физическую защиту, а многоподписные схемы распределяют риски, понимание пользователем логики авторизации и осторожное отношение к действиям в сети становятся последней линией защиты.
В будущем, независимо от того, как будет развиваться технология, основная защита всегда заключается в том, чтобы внутренне усвоить осознание безопасности как привычку, поддерживая баланс между доверием и проверкой. В мире Блокчейн каждое нажатие, каждая транзакция навсегда фиксируются и не могут быть изменены. Поэтому важно развивать осознание безопасности и хорошие привычки.
На этой странице может содержаться сторонний контент, который предоставляется исключительно в информационных целях (не в качестве заявлений/гарантий) и не должен рассматриваться как поддержка взглядов компании Gate или как финансовый или профессиональный совет. Подробности смотрите в разделе «Отказ от ответственности» .
8 Лайков
Награда
8
4
Поделиться
комментарий
0/400
ForkMonger
· 6ч назад
лmao Протоколы просто векторы атак, ожидающие своего часа... дарвин был прав
Блокчейн Протокол стал новым оружием мошенников: трудно заметить, пользователям необходимо повысить бдительность
Новая тенденция мошенничества в Блокчейн: Протокол становится оружием злоумышленников
Криптовалюты и технологии Блокчейн меняют финансовую систему, но также создают новые вызовы безопасности. Мошенники больше не ограничиваются использованием уязвимостей технологий, а превращают сами протоколы умных контрактов Блокчейн в инструменты атаки. Они используют тщательно спроектированные ловушки социальной инженерии, сочетая прозрачность и необратимость Блокчейн, превращая доверие пользователей в инструмент для кражи активов. От подделки умных контрактов до манипуляции кроссчейн-транзакциями, эти атаки не только скрытны и трудны для обнаружения, но также более обманчивы из-за своей "легитимной" оболочки. Эта статья проанализирует примеры, чтобы раскрыть, как мошенники превращают протоколы в средства атаки, и предложит комплексные стратегии защиты.
Один. Как легальный протокол превращается в инструмент мошенничества
Первоначальная цель Блокчейн Протокола заключается в обеспечении безопасности и доверия, однако мошенники используют его особенности, сочетая с небрежностью пользователей, создавая различные скрытые способы атак. Вот некоторые распространенные приемы и их технические детали:
(1) Злоумышленное авторизация смарт-контракта
Технические принципы: Стандарт токенов ERC-20 позволяет пользователям через функцию "Approve" уполномочить третью сторону извлекать определенное количество токенов из их кошелька. Эта функция широко используется в протоколах DeFi, но также используется мошенниками.
Способ работы: Мошенники создают DApp, маскирующийся под легальный проект, и заманивают пользователей подключать кошелек и предоставлять разрешение. На поверхности это выглядит как разрешение на небольшое количество токенов, но на самом деле это может быть неограниченный объем. Как только разрешение получено, мошенники могут в любое время извлекать все соответствующие токены из кошелька пользователя.
Пример: В начале 2023 года фишинговый сайт, замаскировавшийся под «обновление某DEX», привёл к тому, что сотни пользователей потеряли огромные суммы USDT и ETH. Эти транзакции полностью соответствовали стандарту ERC-20, и жертвам было трудно вернуть средства через судебные органы.
(2) Подпись Фишинг
Технический принцип: Блокчейн-транзакции требуют от пользователей генерации подписей с помощью приватного ключа. Мошенники используют этот процесс для подделки запросов на подпись с целью кражи активов.
Способ работы: Пользователи получают сообщения, замаскированные под официальные уведомления, и их направляют на вредоносный сайт для "верификации". На самом деле они могут подписать сделки на передачу активов или авторизацию контроля над NFT.
Пример: Сообщество известного NFT проекта подверглось атаке с использованием фишинга по подписям, в результате чего несколько пользователей потеряли NFT на сумму в несколько миллионов долларов из-за подписания поддельных транзакций "получения аирдропа". Злоумышленники использовали стандарт подписи EIP-712, подделав запрос, который выглядел безопасным.
(3) Ложные токены и "атака пыли"
Технический принцип: Открытость Блокчейна позволяет любому отправлять токены на любой адрес. Мошенники используют это, отправляя небольшое количество криптовалюты для отслеживания активности кошельков.
Способ работы: Мошенники отправляют мелкие токены на несколько адресов, которые могут иметь вводящие в заблуждение названия. Когда пользователи пытаются их обналичить, злоумышленники могут получить доступ к кошельку. Кроме того, анализируя последующие транзакции, мошенники могут определить активные адреса пользователей и осуществлять более точные мошенничества.
Пример: На сети Эфириума произошла атака "пылью GAS-токенов", затронувшая тысячи кошельков. Некоторые пользователи из любопытства взаимодействовали и потеряли ETH и другие токены.
Два, причины, по которым эти мошенничества трудно выявить
Эти мошенничества успешны, в первую очередь потому, что они скрываются в легитимных механизмах Блокчейн, и обычным пользователям сложно распознать их злонамеренную природу. Ключевые причины включают:
Техническая сложность: Код смарт-контракта и запросы на подпись难以理解 для нетехнических пользователей.
Законность на блокчейне: все транзакции записываются в Блокчейн, что кажется прозрачным, но жертвы часто осознают проблему только позже.
Социальная инженерия: мошенники используют человеческие слабости, такие как жадность, страх или доверие.
Умелая маскировка: Фишинговые сайты могут использовать URL, очень похожие на официальный домен, даже увеличивая доверие с помощью сертификатов HTTPS.
Три. Как защитить ваш криптовалютный кошелек
Столкнувшись с этими мошенничествами, сочетающими в себе технические и психологические войны, защита активов требует многоуровневой стратегии:
Проверьте и управляйте разрешениями авторизации
Проверка ссылок и источников
Использование холодного кошелька и многоподписей
Осторожно обрабатывайте запросы на подпись
Противодействие атаке пыли
Заключение
Внедрение указанных выше мер безопасности может значительно снизить риск стать жертвой сложных мошеннических схем. Однако настоящая безопасность не зависит только от технологий. Когда аппаратные кошельки создают физическую защиту, а многоподписные схемы распределяют риски, понимание пользователем логики авторизации и осторожное отношение к действиям в сети становятся последней линией защиты.
В будущем, независимо от того, как будет развиваться технология, основная защита всегда заключается в том, чтобы внутренне усвоить осознание безопасности как привычку, поддерживая баланс между доверием и проверкой. В мире Блокчейн каждое нажатие, каждая транзакция навсегда фиксируются и не могут быть изменены. Поэтому важно развивать осознание безопасности и хорошие привычки.