SAP:WhatsApp的“缺陷”使任何人都可以將您鎖定在應用程序之外，但這很復雜_RecklessApe

WhatsApp身份驗證系統中的一個新漏洞使攻擊者可以將您鎖定在應用程序之外，換句話說，可以停用您的帳戶。如果您經常使用該應用程序，這聽起來很嚇人，但值得注意的是，完成該過程非常復雜，大約需要36個小時才能執行。

本周早些時候，安全研究人員路易斯·馬爾克斯卡平特羅和埃內斯托·卡納萊斯Pere?a通過在一篇文章中分享了他們的這一缺陷的發現福布斯。運作方式如下：

Meta：WhatsApp上線Avatar虛擬化身功能:12月7日，據Meta官方消息，該社交媒體宣布將Avatar虛擬化身功能引入WhatsApp，為用戶提供全新的個性化表達方式。用戶可以將自己的數字化身作為個人資料照片，Meta提供了大量不同發型、面部特征和服裝數字組合供選擇，用戶還可以在好友之間發送Avatar頭像，Meta稱這是一種更好且更私密的方式來展示自己，不必再使用真實照片。[2022/12/7 21:29:13]

安裝WhatsApp后，攻擊者會嘗試通過請求身份驗證碼來嘗試通過您的號碼登錄。

加密巨鯨“BlueWhale0079”購入1000萬枚FTX Token，價值超2.6億美元:金色財經報道，據 whalestats 官方社交媒體披露，加密巨鯨“BlueWhale0079”購入1000萬枚FTX Token，價值達到263,700,000美元。數據顯示，這筆交易賣家地址為：0x2faf487a4414fe77e2327f0bf4ae2a264a776ad2，該地址當前持有30,318,583.99 FTX Token，價值近 8 億美元。[2022/6/24 1:28:26]

在嘗試一定次數后，WhatsApp會阻止發送代碼12個小時。

Polygon上Polywhale官宣停止開發且推特無法訪問，社區質疑是“退出”騙局:Polygon上的收益農場PolywhaleFinance官宣停止項目開發，并稱是代幣經濟表現和市場狀況不佳所致，目前官方推特賬戶已無法查看。社區成員認為項目團隊在將手中的協議代幣兌換為穩定幣后便放棄項目，是典型的“退出”騙局，其中鏈上交易顯示，Polywhale團隊從項目金庫中提取了超過100萬美元并將其存入自己的錢包，目前金庫中只剩下22.34萬枚協議代幣KRILL，價值約2.98萬美元。PolywhaleFinance于2021年4月由一個匿名團隊推出，作為Polygon上的收益農場項目讓存入資金獲得高回報，用戶可以質押包括MATIC、QUICK和其它幾種代幣，以協議原生代幣KRILL的形式賺取高APR收益，上周高峰時期Polywhale的流動性池和其他單一資產池中的TVL一度超過1億美元。（CryptoBriefing）[2021/6/22 23:56:06]

同時，攻擊者設置了一封新電子郵件，并向WhatsApp支持人員發送了“丟失/被盜的電話請求”，以停用您的帳戶。

WhatsApp支持人員并不會真正驗證該電子郵件地址是否與您的帳戶相關聯，因此會將您鎖定在該應用程序之外。

此后，攻擊者必須重復12小時的周期兩次。

在這三個周期的最后，您和攻擊者都將看到“-1秒后重試。”消息，同時嘗試通過您的號碼登錄。

現在，您必須聯系WhatsApp支持以恢復此帳戶。

整個繁瑣的操作聽起來很麻煩，就像攻擊者無法進行太多工作一樣，只是將您拒之門外。這種方式不會提取任何數據或金錢。

但是令人擔憂的是，WhatsApp支持中沒有機制要求您驗證自己是否是帳戶所有者。另外，即使您設置了兩因素身份驗證，此方法也可以成功將您鎖定。

WhatsApp在一份聲明中說：“提供帶有兩步驗證的電子郵件地址有助于我們的客戶服務團隊在遇到這種不太可能的問題時為人們提供幫助。”

為此，請轉到“帳戶”>“兩步驗證”，然后輸入安全PIN后，您可以提供一個電子郵件ID進行恢復。此電子郵件ID也將幫助WhatsApp驗證您的請求。但是，如果您被鎖定，則可能仍必須通過電子郵件發送WhatsApp支持。

Tags：ATSTSAHATSAPCATSHIRABTSAHatch DAORecklessApe

AAVE