Web3 Mobile Wallet Nueva estafa desmitificada: ataque de phishing modal
Recientemente, una nueva técnica de phishing dirigida a billeteras móviles Web3 ha llamado la atención de los investigadores de seguridad. Esta técnica, denominada "Modal Phishing (ataque de phishing modal)", se basa principalmente en manipular las ventanas modales de las billeteras móviles para engañar a los usuarios.
Un atacante puede enviar un mensaje falso a una billetera móvil, hacerse pasar por una aplicación descentralizada (DApp) legítima y mostrar contenido engañoso en la ventana modal de la billetera para engañar a los usuarios para que aprueben la transacción. Esta técnica de pesca es ahora muy utilizada. Los desarrolladores de componentes relevantes han confirmado que se lanzará una nueva API de validación para reducir el riesgo.
Los ataques de phishing modal se llevan a cabo principalmente contra las ventanas modales de las billeteras criptográficas. Una ventana modal es un elemento de la interfaz de usuario de uso común en las aplicaciones móviles, que generalmente se muestra en la parte superior de la ventana principal, para acciones rápidas como aprobar o rechazar una solicitud de intercambio.
Un diseño modal típico de billetera Web3 proporcionará información sobre la transacción y un botón de aprobación/rechazo. Sin embargo, estos elementos de la interfaz de usuario pueden ser controlados por los atacantes para los ataques de phishing.
Wallet Connect es un popular protocolo de código abierto para conectar las carteras de los usuarios a las DApps. Durante el proceso de emparejamiento, la billetera muestra la metainformación proporcionada por la DApp, incluido el nombre, la URL y el ícono. Sin embargo, esta información no está verificada y los atacantes pueden falsificar la información de DApps legítimas.
Por ejemplo, un atacante puede hacerse pasar por una DApp conocida para engañar a los usuarios para que se conecten a una billetera y aprueben las transacciones. Durante el proceso de emparejamiento, la ventana modal mostrada por la billetera presentará la información aparentemente legítima de la DApp, lo que aumenta la credibilidad del ataque.
2. Phishing a través de información de contratos inteligentes
Algunas aplicaciones de billetera muestran el nombre del método del contrato inteligente en el modo de aprobación de la transacción. Los atacantes pueden engañar a los usuarios registrando un nombre de método específico, como "SecurityUpdate".
Por ejemplo, un atacante podría crear un contrato inteligente de phishing que contenga una función llamada "SecurityUpdate". Cuando un usuario ve una solicitud de transacción, verá una solicitud de "actualización de seguridad" que parece provenir de la autoridad oficial de la billetera, lo que aumenta la probabilidad de que el usuario apruebe la transacción maliciosa.
Los desarrolladores de billeteras siempre deben verificar la validez de los datos entrantes externos y no deben confiar ciegamente en ninguna información no verificada.
Los desarrolladores deben seleccionar cuidadosamente la información que muestran a los usuarios y filtrar el contenido que pueda usarse para ataques de phishing.
Los usuarios deben estar atentos a cada solicitud de transacción desconocida, verificar cuidadosamente los detalles de la transacción y no aprobar fácilmente las solicitudes de fuentes desconocidas.
Los acuerdos y plataformas relacionados deben considerar la introducción de mecanismos de verificación más estrictos para garantizar que la información presentada a los usuarios sea verdadera y confiable.
! [Desmitificando la nueva estafa de la billetera móvil Web3.0: ataque de phishing modal] (https://img-cdn.gateio.im/webp-social/moments-966a54698e22dacfc63bb23c2864959e.webp)
A medida que la tecnología Web3 sigue evolucionando, es esencial una mayor concienciación sobre la seguridad tanto para los usuarios como para los desarrolladores. Solo manteniéndose alerta y mejorando constantemente sus medidas de seguridad podrá prevenir eficazmente estos nuevos tipos de ataques de phishing.
El contenido es solo de referencia, no una solicitud u oferta. No se proporciona asesoramiento fiscal, legal ni de inversión. Consulte el Descargo de responsabilidad para obtener más información sobre los riesgos.
Phishing modal: una nueva amenaza de seguridad para las carteras móviles Web3
Web3 Mobile Wallet Nueva estafa desmitificada: ataque de phishing modal
Recientemente, una nueva técnica de phishing dirigida a billeteras móviles Web3 ha llamado la atención de los investigadores de seguridad. Esta técnica, denominada "Modal Phishing (ataque de phishing modal)", se basa principalmente en manipular las ventanas modales de las billeteras móviles para engañar a los usuarios.
Un atacante puede enviar un mensaje falso a una billetera móvil, hacerse pasar por una aplicación descentralizada (DApp) legítima y mostrar contenido engañoso en la ventana modal de la billetera para engañar a los usuarios para que aprueben la transacción. Esta técnica de pesca es ahora muy utilizada. Los desarrolladores de componentes relevantes han confirmado que se lanzará una nueva API de validación para reducir el riesgo.
! Desmitificando la nueva estafa de la billetera móvil Web3.0: ataque de phishing modal
El principio del ataque de phishing modal
Los ataques de phishing modal se llevan a cabo principalmente contra las ventanas modales de las billeteras criptográficas. Una ventana modal es un elemento de la interfaz de usuario de uso común en las aplicaciones móviles, que generalmente se muestra en la parte superior de la ventana principal, para acciones rápidas como aprobar o rechazar una solicitud de intercambio.
Un diseño modal típico de billetera Web3 proporcionará información sobre la transacción y un botón de aprobación/rechazo. Sin embargo, estos elementos de la interfaz de usuario pueden ser controlados por los atacantes para los ataques de phishing.
! Desmitificando la nueva estafa de la billetera móvil Web3.0: ataque de phishing modal
Casos de ataque
1. Phishing de DApp a través de Wallet Connect
Wallet Connect es un popular protocolo de código abierto para conectar las carteras de los usuarios a las DApps. Durante el proceso de emparejamiento, la billetera muestra la metainformación proporcionada por la DApp, incluido el nombre, la URL y el ícono. Sin embargo, esta información no está verificada y los atacantes pueden falsificar la información de DApps legítimas.
Por ejemplo, un atacante puede hacerse pasar por una DApp conocida para engañar a los usuarios para que se conecten a una billetera y aprueben las transacciones. Durante el proceso de emparejamiento, la ventana modal mostrada por la billetera presentará la información aparentemente legítima de la DApp, lo que aumenta la credibilidad del ataque.
! Desmitificando la nueva estafa de la billetera móvil Web3.0: ataque de phishing modal
! Desmitificando la nueva estafa de la billetera móvil web3.0: ataque de phishing modal phishing modal
2. Phishing a través de información de contratos inteligentes
Algunas aplicaciones de billetera muestran el nombre del método del contrato inteligente en el modo de aprobación de la transacción. Los atacantes pueden engañar a los usuarios registrando un nombre de método específico, como "SecurityUpdate".
Por ejemplo, un atacante podría crear un contrato inteligente de phishing que contenga una función llamada "SecurityUpdate". Cuando un usuario ve una solicitud de transacción, verá una solicitud de "actualización de seguridad" que parece provenir de la autoridad oficial de la billetera, lo que aumenta la probabilidad de que el usuario apruebe la transacción maliciosa.
! Desmitificando la nueva estafa de la billetera móvil Web3.0: ataque de phishing modal
! Desmitificando la nueva estafa de la billetera móvil Web3.0: ataque de phishing modal
Recomendaciones de prevención
Los desarrolladores de billeteras siempre deben verificar la validez de los datos entrantes externos y no deben confiar ciegamente en ninguna información no verificada.
Los desarrolladores deben seleccionar cuidadosamente la información que muestran a los usuarios y filtrar el contenido que pueda usarse para ataques de phishing.
Los usuarios deben estar atentos a cada solicitud de transacción desconocida, verificar cuidadosamente los detalles de la transacción y no aprobar fácilmente las solicitudes de fuentes desconocidas.
Los acuerdos y plataformas relacionados deben considerar la introducción de mecanismos de verificación más estrictos para garantizar que la información presentada a los usuarios sea verdadera y confiable.
! [Desmitificando la nueva estafa de la billetera móvil Web3.0: ataque de phishing modal] (https://img-cdn.gateio.im/webp-social/moments-966a54698e22dacfc63bb23c2864959e.webp)
A medida que la tecnología Web3 sigue evolucionando, es esencial una mayor concienciación sobre la seguridad tanto para los usuarios como para los desarrolladores. Solo manteniéndose alerta y mejorando constantemente sus medidas de seguridad podrá prevenir eficazmente estos nuevos tipos de ataques de phishing.