WEB3 安全系列 || 你今天被 钓鱼 了么

admin 2022年6月1日22:34:18评论59 views字数 1370阅读4分34秒阅读模式
WEB3 安全系列 || 你今天被 “钓鱼” 了么


随着web3领域各种应用程序的相继发展,安全问题也随之凸显。近期钓鱼诈骗攻击事件频发,各种钓鱼攻击手法层出不穷。此时,如何更清楚地了解钓鱼攻击;如何避免被钓鱼显得尤为重要。

本系列文章从web3安全出发,持续跟进web3安全动态。


邮件钓鱼

攻击者利用各种热点nft发售、钱包升级、nft预售、空投领取、合约升级,项目更换网站、特价nft、中签等为由,发送钓鱼邮件,内含精心模仿的官方网站、预售平台,app下载链接等,用户稍不留意就会中招。


邮件钓鱼案例

1、黑客了解到 Opensea 需要用户对其卖单进行迁移,并且清楚 Opensea 官方提前发出了迁移日期和操作步骤的邮件。 

WEB3 安全系列 || 你今天被 “钓鱼” 了么

2、黑客提前制作好钓鱼网站,并且部署合约。

WEB3 安全系列 || 你今天被 “钓鱼” 了么

3、通过伪造的邮件通知用户进行迁移操作,引导受害用户在该钓鱼网站上进行卖单迁移操作。这个迁移操作就是让用户对其销售的卖单进行签名,然而签名的卖单价格是0。

WEB3 安全系列 || 你今天被 “钓鱼” 了么

4、黑客拿到用户签了名的卖单信息,通过调用 OpenSea 的交易合约就能以0的价格完成交易,顺利拿到受害者的NFT。 

WEB3 安全系列 || 你今天被 “钓鱼” 了么


WEB3 安全系列 || 你今天被 钓鱼 了么

如何避免

  • 邮件发件人是可以伪造的,不能以邮件发件人来判断是否是官方邮件

  • 点击右键中的地址后,判断浏览器显示的地址是不是自己想要访问的网站

  • 官方不会在邮件里要求你提供任何个人信息,如果有请判断是否为官方邮件

  • 对于常用的网站添加到书签,每次使用的时候自己主动点击而不是在其他地方打开


假冒官方

“钓鱼网站“是指用来欺骗用户的虚假网站,它的页面与真实网站界面基本一致,以假乱真欺骗和窃取用户的私钥或者助记词。钓鱼网站一般只有一个或几个页面,和真实网站差别细微 。该诈骗手段由来已久,骗子传播噱头大多是领取空投、帮助解决问题或其他手段。


假冒官方网站钓鱼

钓鱼网站:https://adidas-meta.com/

WEB3 安全系列 || 你今天被 “钓鱼” 了么

1、攻击者首先创建了一个模仿官方的Twitter账户,并发布了Adidas Avatar free claim的推特,并在评论区@了很多粉丝.

WEB3 安全系列 || 你今天被 “钓鱼” 了么

2、打开网站,连接钱包并点击Claim Now,他将要求你执行setApprovalForAll授权攻击账号,而且你点拒绝后,他会一直弹出该请求框。

WEB3 安全系列 || 你今天被 “钓鱼” 了么

3、如果你没能及时关闭钓鱼网站,而他一直在弹窗,你刚好准备交易,没看清楚很可能会误以为opensea的请求,从而授权。

4、在攻击者或者授权后,攻击者便可以转走你的NFT了。 

WEB3 安全系列 || 你今天被 “钓鱼” 了么


WEB3 安全系列 || 你今天被 钓鱼 了么

如何避免

  • 仔细检查Twitter账户是否官方账户

  • 每当看到setAppRovalForall的签名请求,仔细检查授权地址

  • 如果不小心批准,尽可能快的在攻击者转移NFT之前撤销授权


出品 | 零时科技安全团队

往期内容回顾


区块链安全100问 | 第一篇:区块链安全是什么

【喜报】零时科技参与编制的《区块链关键服务安全技术要求》标准成功发布

零时科技 | Fortress攻击事件分析

Beanstalk Farms攻击事件分析 | 零时科技

为什么黑客如此“钟爱”跨链桥

零时科技 | Agave Finance攻击事件分析

Hundred Finance攻击事件分析 | 零时科技

零时科技 | 被盗6.1亿美金,Poly Network 被攻击复盘分析

喜讯|零时科技完成天使轮800万元融资,持续深化区块链生态安全布局

Popsicle攻击事件复盘分析 | 零时科技

黑客大揭秘!扫码转账即可控制你的数字钱包

原文始发于微信公众号(零时科技):WEB3 安全系列 || 你今天被 “钓鱼” 了么

  • 左青龙
  • 微信扫一扫
  • weinxin
  • 右白虎
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2022年6月1日22:34:18
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出):
                   WEB3 安全系列 || 你今天被 钓鱼 了么http://cn-sec.com/archives/1076924.html

发表评论

匿名网友 填写信息