Ví tiền di động Web3.0 đối mặt với mối đe dọa lừa đảo mới: tấn công lừa đảo theo mô hình
Các nhà nghiên cứu gần đây đã phát hiện ra một loại kỹ thuật lừa đảo mới nhắm vào Ví tiền Web3.0, được gọi là "tấn công lừa đảo theo kiểu mô hình" (Modal Phishing). Phương pháp tấn công này chủ yếu lợi dụng các cửa sổ mô hình trong ứng dụng Ví tiền di động để đánh lừa người dùng, khiến họ phê duyệt các giao dịch độc hại mà không hay biết.
Nguyên lý của cuộc tấn công lừa đảo mô hình
Cuộc tấn công lừa đảo mô-đun chủ yếu nhắm vào các cửa sổ mô-đun trong ứng dụng ví tiền tiền điện tử. Cửa sổ mô-đun là một yếu tố UI thường thấy trong các ứng dụng di động, thường hiển thị trên giao diện chính để trình bày thông tin quan trọng hoặc yêu cầu người dùng thực hiện hành động, như phê duyệt giao dịch.
Kẻ tấn công có thể thực hiện lừa đảo bằng cách kiểm soát một số yếu tố UI trong các cửa sổ mô hình này. Chẳng hạn, họ có thể làm giả thông tin DApp được hiển thị, tên hàm hợp đồng thông minh, v.v., khiến nó trông giống như là một bản cập nhật bảo mật hoặc thao tác đáng tin cậy đến từ ứng dụng hợp pháp.
Hai phương thức tấn công chính
Sử dụng giao thức Wallet Connect để lừa đảo DApp：
Kẻ tấn công có thể giả mạo thông tin DApp, bao gồm tên, biểu tượng và địa chỉ web. Khi người dùng kết nối ví thông qua Wallet Connect, những thông tin giả này sẽ hiển thị trong cửa sổ modal của ví, khiến người dùng nhầm tưởng rằng họ đang tương tác với DApp hợp pháp.
Thông qua thông tin hợp đồng thông minh để lừa đảo：
Lấy ví dụ về MetaMask, kẻ tấn công có thể tạo ra hợp đồng thông minh với tên hàm gây hiểu lầm, chẳng hạn như "SecurityUpdate". Khi người dùng tương tác với những hợp đồng này, Ví tiền sẽ hiển thị những tên này trong cửa sổ mô-đun, khiến giao dịch trông giống như một bản cập nhật bảo mật bình thường.
Nguyên nhân gốc rễ của lỗ hổng
Lý do những cuộc tấn công này có thể xảy ra chủ yếu là do ứng dụng Ví tiền không xác thực đầy đủ tính hợp pháp của thông tin được hiển thị. Ví dụ:
Giao thức Wallet Connect không xác thực thông tin do DApp cung cấp.
Một số Ví tiền tin tưởng trực tiếp và hiển thị siêu dữ liệu từ SDK bên ngoài.
Tên hàm của hợp đồng thông minh có thể bị đăng ký ác ý dưới dạng chuỗi gây hiểu nhầm.
Đề xuất phòng ngừa
Ví tiền phát triển nên:
Giữ thái độ hoài nghi đối với tất cả dữ liệu bên ngoài và thực hiện kiểm tra nghiêm ngặt.
Lọc kỹ thông tin hiển thị cho người dùng.
Thực hiện các biện pháp an ninh bổ sung để xác minh tính xác thực của yêu cầu giao dịch.
Người dùng nên:
Giữ cảnh giác đối với mỗi yêu cầu giao dịch không xác định.
Kiểm tra kỹ chi tiết giao dịch, đừng tin vào thông tin hiển thị trong cửa sổ mô hình.
Trước khi phê duyệt bất kỳ giao dịch nào, hãy xác nhận độ tin cậy của nguồn.
Kết luận
Các cuộc tấn công lừa đảo mô hình đã cho thấy mối đe dọa an ninh mới trong hệ sinh thái Web3.0. Khi các ứng dụng phi tập trung và Ví tiền ngày càng phổ biến, cả người dùng và nhà phát triển cần nâng cao cảnh giác, thực hiện các biện pháp an ninh nghiêm ngặt hơn để phòng ngừa những chiêu trò lừa đảo được thiết kế tinh vi này. Chỉ thông qua việc cải thiện liên tục các thực hành an ninh, chúng ta mới có thể xây dựng trải nghiệm người dùng an toàn và đáng tin cậy hơn trong thế giới Web3.0.
This page may contain third-party content, which is provided for information purposes only (not representations/warranties) and should not be considered as an endorsement of its views by Gate, nor as financial or professional advice. See Disclaimer for details.
Ví tiền di động Web3 gặp phải cuộc tấn công lừa đảo mô phỏng, người dùng cần cảnh giác với các hình thức gian lận mới.
Ví tiền di động Web3.0 đối mặt với mối đe dọa lừa đảo mới: tấn công lừa đảo theo mô hình
Các nhà nghiên cứu gần đây đã phát hiện ra một loại kỹ thuật lừa đảo mới nhắm vào Ví tiền Web3.0, được gọi là "tấn công lừa đảo theo kiểu mô hình" (Modal Phishing). Phương pháp tấn công này chủ yếu lợi dụng các cửa sổ mô hình trong ứng dụng Ví tiền di động để đánh lừa người dùng, khiến họ phê duyệt các giao dịch độc hại mà không hay biết.
Nguyên lý của cuộc tấn công lừa đảo mô hình
Cuộc tấn công lừa đảo mô-đun chủ yếu nhắm vào các cửa sổ mô-đun trong ứng dụng ví tiền tiền điện tử. Cửa sổ mô-đun là một yếu tố UI thường thấy trong các ứng dụng di động, thường hiển thị trên giao diện chính để trình bày thông tin quan trọng hoặc yêu cầu người dùng thực hiện hành động, như phê duyệt giao dịch.
Kẻ tấn công có thể thực hiện lừa đảo bằng cách kiểm soát một số yếu tố UI trong các cửa sổ mô hình này. Chẳng hạn, họ có thể làm giả thông tin DApp được hiển thị, tên hàm hợp đồng thông minh, v.v., khiến nó trông giống như là một bản cập nhật bảo mật hoặc thao tác đáng tin cậy đến từ ứng dụng hợp pháp.
Hai phương thức tấn công chính
Nguyên nhân gốc rễ của lỗ hổng
Lý do những cuộc tấn công này có thể xảy ra chủ yếu là do ứng dụng Ví tiền không xác thực đầy đủ tính hợp pháp của thông tin được hiển thị. Ví dụ:
Đề xuất phòng ngừa
Kết luận
Các cuộc tấn công lừa đảo mô hình đã cho thấy mối đe dọa an ninh mới trong hệ sinh thái Web3.0. Khi các ứng dụng phi tập trung và Ví tiền ngày càng phổ biến, cả người dùng và nhà phát triển cần nâng cao cảnh giác, thực hiện các biện pháp an ninh nghiêm ngặt hơn để phòng ngừa những chiêu trò lừa đảo được thiết kế tinh vi này. Chỉ thông qua việc cải thiện liên tục các thực hành an ninh, chúng ta mới có thể xây dựng trải nghiệm người dùng an toàn và đáng tin cậy hơn trong thế giới Web3.0.