eth_sign сліпа підписка: принцип, методи та заходи запобігання

Нещодавно активність схем замилювання очей з елементом eth_sign значно зросла, багато користувачів під час перегляду невідомих сайтів були спонуковані підписати на вигляд нешкідливі підписи eth_sign, що призвело до втрати активів у гаманцях. Щоб допомогти всім краще зрозуміти механізм роботи цього виду шахрайства, нам потрібно спочатку пояснити суть підпису eth_sign.

сутність підпису eth_sign

У екосистемі Ethereum eth_sign є широко використовуваним методом підпису, який дозволяє користувачам підписувати інформацію за допомогою приватного ключа. Ця механіка підпису є ключовим етапом блокчейн-транзакцій, адже вона може підтвердити, що конкретний рахунок є ініціатором транзакції. Іншими словами, це схоже на підпис на паперовому документі, що свідчить про вашу згоду або підтримку змісту документа.

Однак, під час використання eth_sign існує проблема, яку легко ігнорувати, а саме так зване "сліпе підписання". Коли користувач підписує інформацію за допомогою eth_sign, він часто не може повністю зрозуміти зміст підпису і не може зворотно перевірити, що саме представляє підпис. Це пов'язано з тим, що вхідні дані eth_sign є сирими символами, а не форматом, зрозумілим людині. Це подібно до того, як підписувати контракт, написаний незнайомою мовою, саме тому це називається "сліпе підписання".

Поширені методи шахрайства

Після того як ми зрозуміли концепцію підпису eth_sign та сліпого підпису, ми можемо детальніше розглянути потенційні ризики eth_sign та способи запобігання таким шахрайствам зі сліпими підписами.

Оскільки eth_sign може використовуватися для підписання різних типів інформації, включаючи транзакції та команди смарт-контрактів, злісні треті сторони можуть спонукати користувачів підписувати інформацію, яку вони не повністю розуміють, що призводить до переміщення активів на їхні рахунки. Ще гірше, вони можуть надати на перший погляд безпечну інформацію для підписання, але насправді ця інформація може бути командою дії, і як тільки вона підписана, активи користувача будуть переміщені на їхні рахунки.

У цій ситуації, як ми повинні запобігати? У відповідь на такі шахрайські дії, один відомий гаманець у новій версії оновив систему управління ризиками. Коли користувачі відвідують сторонній DApp для здійснення підпису повідомлення за допомогою eth_sign, цей додаток надасть сповіщення про ризик, попереджаючи користувача, що поточна угода може містити потенційний ризик, і запуститься таймер зворотного відліку на 15 секунд. Така настройка має на меті дати користувачеві достатньо часу для оцінки необхідності та безпеки операції підпису.

Рекомендації з безпеки

Експерти з безпеки нагадують всім:

• Будьте обережні з усіма запитами, що вимагають підпису eth_sign, особливо якщо вони походять з невідомих або ненадійних джерел. Якщо у вас є сумніви щодо дійсності або мети запиту, не підписуйте його без роздумів.
• Переконайтеся, що оброблені повідомлення або запити на транзакції надходять з надійних джерел, таких як офіційні веб-сайти, офіційні соціальні мережі або перевірені канали зв'язку. Ніколи не довіряйте посиланням, електронним листам або приватним повідомленням з невідомих джерел.

Завдяки підвищеній обізнаності та вжиттю необхідних запобіжних заходів, ми можемо ефективно знизити ризик стати жертвою замилювання очей eth_sign і захистити безпеку своїх цифрових активів.