Nuevos riesgos de seguridad en la billetera móvil Web3.0: ataques de phishing modal
Recientemente, los investigadores de seguridad han descubierto una nueva técnica de phishing dirigida a las billeteras móviles de Web3.0, denominada "ataque de phishing modal" (Modal Phishing). Este método de ataque aprovecha la vulnerabilidad en el diseño de la ventana modal de las billeteras móviles, mostrando información engañosa para engañar a los usuarios y hacer que aprueben transacciones maliciosas.
Principio del ataque de phishing modal
Los ataques de phishing modal se dirigen principalmente a las ventanas modales que son comúnmente utilizadas en las aplicaciones de billetera de criptomonedas. Estas ventanas modales suelen mostrar información de solicitudes de transacción y obtener la aprobación del usuario. Los atacantes pueden manipular ciertos elementos de la interfaz de usuario en estas ventanas para mostrar información falsa o engañosa.
Específicamente, los atacantes pueden controlar los siguientes elementos de la interfaz de usuario:
Información de DApp: incluye nombre, ícono, dirección del sitio web, etc.
Información del contrato inteligente: como el nombre de la función, etc.
Casos de ataque típicos
1. Utilizar el protocolo Wallet Connect para el phishing de DApps
Wallet Connect es un protocolo ampliamente utilizado para conectar billeteras de usuarios con DApps. Los investigadores han descubierto que, durante el proceso de emparejamiento, la aplicación de billetera muestra directamente la metainformación proporcionada por la DApp, sin verificarla. Los atacantes pueden aprovechar esto para falsificar la información de DApps conocidas y engañar a los usuarios.
Por ejemplo, un atacante puede crear una DApp falsa de Uniswap y conectarse a la billetera Metamask del usuario a través de Wallet Connect. Durante el proceso de emparejamiento, la billetera mostrará información de Uniswap que parece legítima, incluyendo el nombre, la URL y el icono. Una vez que el usuario aprueba la conexión, el atacante puede enviar solicitudes de transacciones maliciosas.
2. Phishing de información de contratos inteligentes a través de Metamask
Las billeteras como Metamask mostrarán el nombre de la función del contrato inteligente en la interfaz de aprobación de transacciones. Los atacantes pueden registrar funciones de contrato inteligente con nombres engañosos, como "SecurityUpdate", y utilizar estas funciones en la solicitud de transacción. Cuando los usuarios ven una solicitud de actualización aparentemente oficial, pueden malinterpretar esto como una operación legítima y aprobar la transacción.
Sugerencias de prevención
Para los desarrolladores de Billetera:
Siempre considera los datos entrantes desde el exterior como no confiables.
Seleccionar cuidadosamente la información que se mostrará al usuario y verificar su legalidad.
Considerar la implementación de mecanismos de verificación adicionales, como la verificación de la información de DApp.
Para los usuarios:
Mantente alerta ante cada solicitud de transacción desconocida
Revisa detenidamente los detalles de la transacción, no tomes decisiones solo basándote en la información mostrada en la interfaz de usuario.
Si tiene preguntas, verifique la información a través de los canales oficiales.
En resumen, los ataques de phishing modal revelan las vulnerabilidades potenciales en el diseño de la interfaz de usuario y la verificación de información de las billeteras Web3.0. A medida que estos métodos de ataque continúan evolucionando, tanto los desarrolladores de billeteras como los usuarios deben aumentar su conciencia de seguridad y trabajar juntos para mantener la seguridad del ecosistema Web3.
Esta página puede contener contenido de terceros, que se proporciona únicamente con fines informativos (sin garantías ni declaraciones) y no debe considerarse como un respaldo por parte de Gate a las opiniones expresadas ni como asesoramiento financiero o profesional. Consulte el Descargo de responsabilidad para obtener más detalles.
16 me gusta
Recompensa
16
5
Compartir
Comentar
0/400
NFT_Therapy
· hace15h
Deja los contratos inteligentes y mejor ejecuta.
Ver originalesResponder0
SchrodingerAirdrop
· 07-23 16:09
Maldita sea, las posiciones en corto no se atreven a abrir.
Ver originalesResponder0
ValidatorVibes
· 07-23 16:07
otro día, otro exploit... ¿cuándo aprenderán los desarrolladores a hacer una validación modal adecuada? smh
Ver originalesResponder0
NFTHoarder
· 07-23 16:07
No pienses en trampa conmigo, este malvado incluso quiere engañar mi nft
Amenazas emergentes para billeteras móviles en Web3: Detalles sobre ataques de phishing modal y cómo prevenirlos
Nuevos riesgos de seguridad en la billetera móvil Web3.0: ataques de phishing modal
Recientemente, los investigadores de seguridad han descubierto una nueva técnica de phishing dirigida a las billeteras móviles de Web3.0, denominada "ataque de phishing modal" (Modal Phishing). Este método de ataque aprovecha la vulnerabilidad en el diseño de la ventana modal de las billeteras móviles, mostrando información engañosa para engañar a los usuarios y hacer que aprueben transacciones maliciosas.
Principio del ataque de phishing modal
Los ataques de phishing modal se dirigen principalmente a las ventanas modales que son comúnmente utilizadas en las aplicaciones de billetera de criptomonedas. Estas ventanas modales suelen mostrar información de solicitudes de transacción y obtener la aprobación del usuario. Los atacantes pueden manipular ciertos elementos de la interfaz de usuario en estas ventanas para mostrar información falsa o engañosa.
Específicamente, los atacantes pueden controlar los siguientes elementos de la interfaz de usuario:
Casos de ataque típicos
1. Utilizar el protocolo Wallet Connect para el phishing de DApps
Wallet Connect es un protocolo ampliamente utilizado para conectar billeteras de usuarios con DApps. Los investigadores han descubierto que, durante el proceso de emparejamiento, la aplicación de billetera muestra directamente la metainformación proporcionada por la DApp, sin verificarla. Los atacantes pueden aprovechar esto para falsificar la información de DApps conocidas y engañar a los usuarios.
Por ejemplo, un atacante puede crear una DApp falsa de Uniswap y conectarse a la billetera Metamask del usuario a través de Wallet Connect. Durante el proceso de emparejamiento, la billetera mostrará información de Uniswap que parece legítima, incluyendo el nombre, la URL y el icono. Una vez que el usuario aprueba la conexión, el atacante puede enviar solicitudes de transacciones maliciosas.
2. Phishing de información de contratos inteligentes a través de Metamask
Las billeteras como Metamask mostrarán el nombre de la función del contrato inteligente en la interfaz de aprobación de transacciones. Los atacantes pueden registrar funciones de contrato inteligente con nombres engañosos, como "SecurityUpdate", y utilizar estas funciones en la solicitud de transacción. Cuando los usuarios ven una solicitud de actualización aparentemente oficial, pueden malinterpretar esto como una operación legítima y aprobar la transacción.
Sugerencias de prevención
Para los desarrolladores de Billetera:
Para los usuarios:
En resumen, los ataques de phishing modal revelan las vulnerabilidades potenciales en el diseño de la interfaz de usuario y la verificación de información de las billeteras Web3.0. A medida que estos métodos de ataque continúan evolucionando, tanto los desarrolladores de billeteras como los usuarios deben aumentar su conciencia de seguridad y trabajar juntos para mantener la seguridad del ecosistema Web3.