Buzda Kimlik Avı Açıklaması: Gizli Onay Kanalları

Aldatıcı Defter: Kimlik Bilgisi Hırsızlığından İzin Kaçakçılığına Geçiş

• Web3 güvenliğinin ilk günlerinde, dijital varlıkları korumak, kimlik bilgilerinin korunmasına odaklanan nispeten basit bir savaştı. Bir yatırımcı 12 kelimelik başlangıç ​​ifadesini ezberlediğinde, özel anahtarlarını tamamen çevrimdışı olarak sakladığında ve kötü amaçlı yazılım indirmelerinden kaçındığında, zincir üzerindeki sermayesi genellikle güvenli kabul ediliyordu. 

• Geleneksel kimlik avı saldırıları büyük ölçüde kaba kuvvet aldatmacasına dayanıyordu: kullanıcıları ana kurtarma ifadelerini doğrudan sahte web formlarına yazmaları için kandırmak.

• Günümüzde tehdit ortamı dramatik bir yapısal evrim geçirdi. Gelişmiş Web3 siber suçluları artık özel anahtarlarınızı veya temel sözcük öbeklerinizi çalmaya çalışırken enerji harcamıyor. Bunun yerine, oldukça karmaşık bir teknik kullanıyorlar. Buz Kimlik Avı. 
• cüzdan, buz kimlik avı, kapıyı kibarca açmanız ve varlıklarınızın tam operasyonel kontrolünü vermeniz için sizi kandırır. Akıllı sözleşme kullanıcı arayüzlerini manipüle ederek, zincir dışı imzalardan yararlanarak ve kör imzalama güvenlik açıklarından yararlanarak, bu gizli onay, özel anahtarlara tamamen dokunulmadan bırakılırken, milyonları kişisel saklama hesaplarından çeker.

Buzla Kimlik Avı Nedir?

• Buz kimlik avı, bir saldırganın kullanıcıyı kötü niyetli bir akıllı sözleşme işlemi veya jeton tahsisatı imzalamaya yönlendirdiği kriptografik bir istismardır. Bu yetkilendirme, tokenın zincirdeki onay durumunu değiştirerek saldırgana kurbanın varlıklarını harcaması için tam ve yasal izin verir.

• Fonları anında A noktasından B noktasına taşıyan tipik bir işlemin aksine, buz kimlik avı eş zamanlı olmayan bir tehdittir. Bir kullanıcı kötü niyetli bir onayı imzaladığı anda hiçbir şey olmuyor gibi görünüyor. Hiçbir token cüzdandan hemen ayrılmaz. Bunun yerine, saldırgan imzanın yerleşmesini bekler ve daha sonra hesabı temiz bir şekilde boşaltmak için token sözleşmesinin dahili transfer işlevlerini çağırır.

1. Zincir Üstü Tuzağın Mekaniği: approve ve setApprovalForAll

• Merkezi olmayan uygulamalarla, otomatik piyasa yapıcılarla ve NFT pazaryerleriyle etkileşim kurmak için Web3 kullanıcılarının token tahsisat çerçeveleriyle etkileşime girmesi gerekir. Akıllı sözleşmeler, cüzdanınızdaki tokenları izinsiz olarak otomatik olarak okuyamayacağı veya taşıyamayacağı için, öncelikle sözleşmeye belirli bir harcama ödeneği vermeniz gerekir.

Ice phishing kampanyaları, rutin token etkileşimlerinin parametrelerini değiştiren sahte merkezi olmayan uygulamaları (dApp'ler) dağıtarak bu tasarım tercihinden yararlanır:

• ERC-20 Token Tahsisleri (approve): Rutin bir token takası yapılandırdığınıza inandığınızda, kötü amaçlı dApp, temeldeki işlem çağrı verisi yükünü değiştirir. Bir takas işlevi çağırmak yerine tokenin yerel tahsis işlevini çağırarak saldırganın sözleşme adresine multi trilyonluk bir token harcama tavanı verir.

• NFT Ekosistem Taramaları (setApprovalForAll): Değiştirilemez tokenlar için tehdit daha da mutlaktır. Kötü amaçlı bir işlem içeren bir işlemi imzalamak setApprovalForAll bayrağı, saldırgana söz konusu sözleşme kapsamındaki tüm token koleksiyonunuz üzerinde tam idari yetki verir. Bilgisayar korsanı daha sonra tek bir blok yürütmeyle her bir yüksek değerli dijital koleksiyon parçasını hesabınızdan çekebilir.

2. Görünmez İmza: EIP-2612 Kimlik Avına İzin Ver

• Cüzdan sağlayıcıları, şüpheli zincir içi onayları işaretlemek için daha iyi uyarı bannerları uyguladıkça, drenaj hizmetleri, özellikle hedefleme yoluyla zincir dışı imza çerçevesi manipülasyonuna yöneldi. EIP-2612 İzni modülleri.

• EIP-2612 standardı, gazsız token onaylarına izin vererek daha verimli bir kullanıcı deneyimi yaratmak amacıyla tanıtıldı. Canlı, maliyetli bir teklif göndermek yerine blockchain işleminde bir ödeneği ayarlamak için kullanıcı, cüzdan istemcisinde yapılandırılmış, zincir dışı bir mesajı imzalar. Bu ham kriptografik imza dizisi daha sonra işlemi zincir üzerinde yürütmek için ağ gaz ücretini ödeyen üçüncü bir tarafa aktarılır.

• Ice phishing senaryosunda bu özellik sessiz bir güvenlik açığına dönüşür. Saldırganlar, kullanıcıları "cüzdan sahipliğini doğrulamak" veya "topluluk ödülü talep etmek" için basit, gazsız bir kısa mesaj imzalamaya yönlendiren güzel, klonlanmış web uygulamaları oluşturur. Ön uç kullanıcı arayüzünün arkasında, yük aslında bir EIP-2612 İzin doğrulama dizisidir. Kullanıcı imzayı tıkladığı anda, süzgeç ham imza yükünü yakalar, ödeneği güvence altına almak için bunu halka açık blockchain defterine yayınlar ve hesaptaki tokenları soyar.

3. Kör İmzalama Kör Noktası: Donanım Cüzdanlarından Yararlanmak

• Bir Web3 katılımcısı için nihai savunma hattı donanım cüzdanıdır. Bununla birlikte, en güvenli fiziksel güvenlik çipi bile yatırımcıyı buz kimlik avı saldırısına uğramaktan kurtaramaz. Kör İmza.

• Kör imzalama, bir donanım cihazının yerel olarak ayrıştıramadığı veya küçük fiziksel ekranında görüntüleyemediği bir akıllı sözleşme işlemini veya karmaşık mesaj yükünü yetkilendirmeye zorlandığında meydana gelir. Gibi açık metin talimatlarını göstermek yerine "X Sözleşmesine Devir Hakkı Ver," donanım cüzdanı, uzun, okunamayan bir ham onaltılık onaltılık veri dizisinin yanı sıra genel bir uyarı mesajı görüntüler.

• Kullanıcılar, yüksek basınçlı piyasa olayları sırasında bu okunamayan veri alanlarıyla karşılaştıklarında, alışkanlık gereği sıklıkla fiziksel donanım butonlarındaki uyarı istemlerine tıklıyorlar. Kullanıcı, doğrulanmamış veri dizesini körü körüne imzalayarak, kötü amaçlı buz kimlik avı yükünü kriptografik olarak doğrular ve filtreleyici komut dosyasının fiziksel cihazın güvenlik modelini tamamen atlamasına olanak tanıyan, itiraz edilemez, geri döndürülemez bir zincir içi onay oluşturur.

Teknik Tasarım Matrisi: Onay Tahliye Vektör İmzaları

4. Zincir İçi Sermayenizi Nasıl Tanınır ve Korursunuz?

Portföyünüzü gelişmiş buz kimlik avı saldırılarına ve diğer "kimlik avı saldırılarına" karşı savunmak, sıkı operasyonel güvenlik protokollerine tavizsiz bir bağlılık gerektirir.

• İşlem Simülasyon Verilerini Denetle: Modern, güvenli Web3 cüzdanları gelişmiş işlem simülasyon modüllerini içerir. Herhangi bir işlem istemine izin vermeden önce simülasyon çıktı ekranını dikkatlice inceleyin. Temel bir işlevi yerine getirdiğini iddia eden bir web sitesi, cüzdanınızın bir ödeneği değiştirdiğini belirten bir simülasyon uyarısı üretiyorsa veya aşağıdaki terimleri içeren bir işlem talep ediyorsa: approve veya Permit, bağlantıyı hemen reddedin.

• Asla Kör İşaret Bilinmeyen Yükler: Donanım cüzdanlarınızdaki kör imzalama istemlerini yüksek riskli güvenlik olayları olarak değerlendirin. Fiziksel cihazınızın ekranı, jetonlarınızın tam olarak nerede hareket ettiğini ve nedenini açıklayan net, okunabilir metin ana hatlarını görüntüleyemiyorsa onay düğmelerine basmayın. Net veri görünürlüğü sağlamak için cihazınızın donanım yazılımını güncelleyin veya alternatif, doğrulanmış dApp arayüzü rotalarını kullanın.

• Rutin İzin Denetimlerini Uygulayın: Token tahsisleri kalıcıdır; Bir kez verildiğinde, açıkça değiştirilene kadar blok zincirinde sonsuza kadar aktif kalırlar. Geçmişteki onayları periyodik olarak temizlemek için Revoke.cash gibi bağımsız ödenek denetim uygulamalarından veya yerel cüzdan güvenlik portallarından yararlanın, böylece ele geçirilen eski platformların mevcut bakiyelerinize arka kapı olarak davranmamasını sağlayın.

DEXTools Adli Telemetri Aracılığıyla Sermaye Girişlerinin Takibi