Web3.0 Portefeuille mobile nouveaux risques de sécurité : attaques de phishing modales
Récemment, une nouvelle technique de phishing a attiré l'attention dans le domaine du Web3.0. Cette méthode d'attaque cible la phase d'authentification des applications décentralisées (DApp), ce qui pourrait induire les utilisateurs en erreur et les amener à prendre de mauvaises décisions.
Les chercheurs en sécurité ont nommé cette nouvelle technique de phishing "attaque de phishing modal" (Modal Phishing).
Dans ce type d'attaque, les hackers peuvent envoyer de fausses informations à un portefeuille mobile, se faisant passer pour une DApp légitime. En affichant un contenu trompeur dans la fenêtre modale du portefeuille, ils incitent les utilisateurs à approuver des transactions problématiques. Actuellement, cette méthode de phishing commence à se répandre largement. Les équipes de développement concernées ont confirmé qu'elles vont lancer une nouvelle API de vérification pour réduire les risques.
Principe des attaques de phishing modal
Dans une étude sur la sécurité des portefeuilles mobiles, des experts ont découvert que certains éléments de l'interface utilisateur des portefeuilles Web3 pouvaient être exploités par des attaquants pour mener des attaques de phishing. On l'appelle "phishing modal" car l'attaque cible principalement les fenêtres modales des portefeuilles de crypto-monnaie.
Les fenêtres modales sont des éléments d'interface utilisateur courants dans les applications mobiles, généralement affichées au-dessus de l'écran principal. Ce design permet aux utilisateurs d'agir rapidement, comme approuver ou refuser une demande de transaction de portefeuille Web3.0. Une fenêtre modale typique de portefeuille Web3.0 fournira des détails sur la transaction pour que les utilisateurs puissent les vérifier, avec des boutons pour approuver ou refuser.
Cependant, ces éléments d'interface utilisateur peuvent être manipulés par des hackers pour des attaques de phishing modal. Les attaquants peuvent modifier les détails des transactions et déguiser les demandes en "mises à jour de sécurité" apparemment provenant de sources fiables, incitant ainsi les utilisateurs à approuver.
Cas d'attaque typiques
1. Phishing DApp utilisant le protocole Wallet Connect
Wallet Connect est un protocole open source largement utilisé, permettant de connecter le portefeuille de l'utilisateur à des DApps via un code QR ou un lien profond. Pendant le processus de couplage, le portefeuille Web3 affichera une fenêtre modale montrant le nom de la DApp, l'URL, l'icône et d'autres informations.
Le problème est que le portefeuille ne vérifie pas la véracité de ces informations. Un attaquant peut fournir de fausses informations, se faisant passer pour un DApp connu. Par exemple, une application malveillante peut se faire passer pour Uniswap, incitant les utilisateurs à se connecter et à approuver des transactions.
Des tests réels montrent que les attaquants peuvent manipuler le nom, l'URL et l'icône de l'application décentralisée (DApp) affichés dans la fenêtre modal. En utilisant le protocole https, une icône de verrouillage peut même apparaître, augmentant ainsi la crédibilité. Une fois que l'utilisateur effectue une opération sur le site frauduleux, l'attaquant peut remplacer les paramètres de la transaction et voler des fonds.
2. Phishing d'informations sur les contrats intelligents via MetaMask
Les portefeuilles comme MetaMask affichent le nom de la méthode du contrat intelligent dans l'interface d'approbation des transactions, comme "Confirmer" ou "Méthode inconnue". Cette fonctionnalité est à l'origine conçue pour aider les utilisateurs à identifier le type de transaction, mais elle peut également être exploitée par des attaquants.
Un attaquant peut créer un contrat intelligent de phishing, en enregistrant des noms de méthode comme des chaînes trompeuses telles que "SecurityUpdate". Lorsque l'utilisateur consulte les détails de la transaction, il verra une demande de "mise à jour de sécurité" semblant provenir de MetaMask, augmentant ainsi la probabilité que l'utilisateur approuve.
Conseils de prévention
Les développeurs de Portefeuille doivent toujours supposer que les données externes ne sont pas fiables, choisir avec soin les informations à présenter aux utilisateurs et vérifier leur légitimité.
Envisagez de filtrer les mots sensibles pouvant être utilisés pour le phishing dans l'UI.
Les utilisateurs doivent rester vigilants face à chaque demande de transaction inconnue et vérifier soigneusement les détails de la transaction.
Les protocoles comme Wallet Connect pourraient envisager d'ajouter un mécanisme de vérification des informations DApp.
L'application de portefeuille doit améliorer la logique d'affichage des noms de méthodes de contrat intelligent, afin d'éviter de montrer directement des informations susceptibles d'être abusées.
Avec le développement de la technologie Web3.0, de nouvelles menaces de sécurité apparaissent constamment. Les utilisateurs et les développeurs doivent rester vigilants et travailler ensemble pour maintenir la sécurité de l'écosystème.
Cette page peut inclure du contenu de tiers fourni à des fins d'information uniquement. Gate ne garantit ni l'exactitude ni la validité de ces contenus, n’endosse pas les opinions exprimées, et ne fournit aucun conseil financier ou professionnel à travers ces informations. Voir la section Avertissement pour plus de détails.
11 J'aime
Récompense
11
8
Reposter
Partager
Commentaire
0/400
liquidation_watcher
· 08-17 03:39
Le mur d'air a encore été brisé, ce qui fait que je dois maintenant vérifier plusieurs fois avant de signer un contrat.
Voir l'originalRépondre0
HallucinationGrower
· 08-16 21:21
Encore une nouvelle astuce des hackers, n'est-ce pas ?
Voir l'originalRépondre0
GateUser-2fce706c
· 08-15 11:11
J'ai déjà averti qu'il faut être prudent lorsqu'on fait du Coin Hoarding.
Voir l'originalRépondre0
FallingLeaf
· 08-14 05:43
Encore de la pêche, quand cela va-t-il s'arrêter ?
Voir l'originalRépondre0
PermabullPete
· 08-14 05:35
Oh là là, ce Hacker joue maintenant à la psychologie.
Voir l'originalRépondre0
ParanoiaKing
· 08-14 05:33
Encore une fois, tu viens me tromper, pigeons, n'est-ce pas ?
Attaques de phishing modales : Une nouvelle menace de sécurité pour les portefeuilles mobiles Web3
Web3.0 Portefeuille mobile nouveaux risques de sécurité : attaques de phishing modales
Récemment, une nouvelle technique de phishing a attiré l'attention dans le domaine du Web3.0. Cette méthode d'attaque cible la phase d'authentification des applications décentralisées (DApp), ce qui pourrait induire les utilisateurs en erreur et les amener à prendre de mauvaises décisions.
Les chercheurs en sécurité ont nommé cette nouvelle technique de phishing "attaque de phishing modal" (Modal Phishing).
Dans ce type d'attaque, les hackers peuvent envoyer de fausses informations à un portefeuille mobile, se faisant passer pour une DApp légitime. En affichant un contenu trompeur dans la fenêtre modale du portefeuille, ils incitent les utilisateurs à approuver des transactions problématiques. Actuellement, cette méthode de phishing commence à se répandre largement. Les équipes de développement concernées ont confirmé qu'elles vont lancer une nouvelle API de vérification pour réduire les risques.
Principe des attaques de phishing modal
Dans une étude sur la sécurité des portefeuilles mobiles, des experts ont découvert que certains éléments de l'interface utilisateur des portefeuilles Web3 pouvaient être exploités par des attaquants pour mener des attaques de phishing. On l'appelle "phishing modal" car l'attaque cible principalement les fenêtres modales des portefeuilles de crypto-monnaie.
Les fenêtres modales sont des éléments d'interface utilisateur courants dans les applications mobiles, généralement affichées au-dessus de l'écran principal. Ce design permet aux utilisateurs d'agir rapidement, comme approuver ou refuser une demande de transaction de portefeuille Web3.0. Une fenêtre modale typique de portefeuille Web3.0 fournira des détails sur la transaction pour que les utilisateurs puissent les vérifier, avec des boutons pour approuver ou refuser.
Cependant, ces éléments d'interface utilisateur peuvent être manipulés par des hackers pour des attaques de phishing modal. Les attaquants peuvent modifier les détails des transactions et déguiser les demandes en "mises à jour de sécurité" apparemment provenant de sources fiables, incitant ainsi les utilisateurs à approuver.
Cas d'attaque typiques
1. Phishing DApp utilisant le protocole Wallet Connect
Wallet Connect est un protocole open source largement utilisé, permettant de connecter le portefeuille de l'utilisateur à des DApps via un code QR ou un lien profond. Pendant le processus de couplage, le portefeuille Web3 affichera une fenêtre modale montrant le nom de la DApp, l'URL, l'icône et d'autres informations.
Le problème est que le portefeuille ne vérifie pas la véracité de ces informations. Un attaquant peut fournir de fausses informations, se faisant passer pour un DApp connu. Par exemple, une application malveillante peut se faire passer pour Uniswap, incitant les utilisateurs à se connecter et à approuver des transactions.
Des tests réels montrent que les attaquants peuvent manipuler le nom, l'URL et l'icône de l'application décentralisée (DApp) affichés dans la fenêtre modal. En utilisant le protocole https, une icône de verrouillage peut même apparaître, augmentant ainsi la crédibilité. Une fois que l'utilisateur effectue une opération sur le site frauduleux, l'attaquant peut remplacer les paramètres de la transaction et voler des fonds.
2. Phishing d'informations sur les contrats intelligents via MetaMask
Les portefeuilles comme MetaMask affichent le nom de la méthode du contrat intelligent dans l'interface d'approbation des transactions, comme "Confirmer" ou "Méthode inconnue". Cette fonctionnalité est à l'origine conçue pour aider les utilisateurs à identifier le type de transaction, mais elle peut également être exploitée par des attaquants.
Un attaquant peut créer un contrat intelligent de phishing, en enregistrant des noms de méthode comme des chaînes trompeuses telles que "SecurityUpdate". Lorsque l'utilisateur consulte les détails de la transaction, il verra une demande de "mise à jour de sécurité" semblant provenir de MetaMask, augmentant ainsi la probabilité que l'utilisateur approuve.
Conseils de prévention
Les développeurs de Portefeuille doivent toujours supposer que les données externes ne sont pas fiables, choisir avec soin les informations à présenter aux utilisateurs et vérifier leur légitimité.
Envisagez de filtrer les mots sensibles pouvant être utilisés pour le phishing dans l'UI.
Les utilisateurs doivent rester vigilants face à chaque demande de transaction inconnue et vérifier soigneusement les détails de la transaction.
Les protocoles comme Wallet Connect pourraient envisager d'ajouter un mécanisme de vérification des informations DApp.
L'application de portefeuille doit améliorer la logique d'affichage des noms de méthodes de contrat intelligent, afin d'éviter de montrer directement des informations susceptibles d'être abusées.
Avec le développement de la technologie Web3.0, de nouvelles menaces de sécurité apparaissent constamment. Les utilisateurs et les développeurs doivent rester vigilants et travailler ensemble pour maintenir la sécurité de l'écosystème.