買以太坊 買以太坊
Ctrl+D 買以太坊
ads
首頁 > KuCoin > Info

ALL:慢霧:警惕 Web3 錢包 WalletConnect 釣魚風險_trustwallet錢包怎么交易

Author:

Time:1900/1/1 0:00:00

WalletConnect釣魚風險介紹

2023年1月30日,慢霧安全團隊發現Web3錢包上關于WalletConnect使用不當可能存在被釣魚的安全風險問題。這個問題存在于使用移動端錢包App內置的DAppBrowser+?WalletConnect的場景下。

我們發現,部分Web3錢包在提供WalletConnect支持的時候,沒有對WalletConnect的交易彈窗要在哪個區域彈出進行限制,因此會在錢包的任意界面彈出簽名請求。

當用戶離開DAppBrowser界面切換到錢包其他界面如示例中的Wallet、Discover等界面,由于錢包為了不影響用戶體驗和避免重復授權,此時WalletConnect的連接是沒有斷開的,但是此時用戶卻可能因為惡意DApp突然發起的簽名請求彈窗而誤操作導致被釣魚轉移走資產。

慢霧:近期出現新的流行惡意盜幣軟件Mystic Stealer,可針對40款瀏覽器、70款瀏覽器擴展進行攻擊:6月20日消息,慢霧首席信息安全官@IM_23pds在社交媒體上發文表示,近期已出現新的加密貨幣盜竊軟件Mystic Stealer,該軟件可針對40款瀏覽器、70款瀏覽器擴展、加密貨幣錢包進行攻擊,如MetaMask、Coinbase Wallet、Binance、Rabby Wallet、OKX Wallet、OneKey等知名錢包,是目前最流行的惡意軟件,請用戶注意風險。[2023/6/20 21:49:05]

動態演示GIF如下圖:

慢霧:PREMINT攻擊者共竊取約300枚NFT,總計獲利約280枚ETH:7月18日消息,慢霧監測數據顯示,攻擊PREMINT的兩個黑客地址一共竊取了大約300枚NFT,賣出后總計獲利約280枚ETH。此前報道,黑客在PREMINT網站植入惡意JS文件實施釣魚攻擊,從而盜取用戶的NFT等資產。[2022/7/18 2:19:58]

攻擊者利用惡意DApp釣魚網站引導用戶使用WalletConnect與釣魚頁面連接后,然后定時不間斷發送惡意的簽名請求。用戶識別到eth_sign可能不安全拒絕簽名后,由于WalletConnect采用wss的方式進行連接,如果用戶沒有及時關閉連接,釣魚頁面會不斷的發起構造惡意的eth_sign簽名彈窗請求,用戶在使用錢包的時候有很大的可能會錯誤的點擊簽署按鈕,導致用戶的資產被盜。

這個安全問題的核心是用戶切換DAppBrowser界面到其他界面后,是否應繼續自動彈窗響應來自DAppBrowser界面的請求,尤其是敏感操作請求。因為跨界面后盲目彈窗響應很容易導致用戶的誤操作。

慢霧:Titano Finance被黑因池子被設置成惡意PrizeStrategy合約造成后續利用:據慢霧區情報消息,2月14日,BSC鏈上的Titano Finance項目遭受攻擊,損失約190萬美元,最初獲利地址為0xad9217e427ed9df8a89e582601a8614fd4f74563,目前被黑資金已被攻擊者轉移到其他23個錢包。該攻擊主要由于owner角色可以任意設置setPrizeStrategy函數,導致了池子被設置成惡意的PrizeStrategy合約造成后續利用。[2022/2/14 9:51:14]

這里面涉及到一個安全原則:WalletConnect連接后,錢包在檢測到用戶切換DAppBrowser界面到其他界面后,應該對來自DAppBrowser的彈窗請求不進行處理。

另外需要注意的是,雖然移動端錢包App+PC瀏覽器的WalletConnect連接場景也存在同樣的問題,但是用戶在這種場景下或許不那么容易誤操作。

慢霧:攻擊者系通過“supply()”函數重入Lendf.Me合約 實現重入攻擊:慢霧安全團隊發文跟進“DeFi平臺Lendf.Me被黑”一事的具體原因及防御建議。文章分析稱,通過將交易放在bloxy.info上查看完整交易流程,可發現攻擊者對Lendf.Me進行了兩次“supply()”函數的調用,但是這兩次調用都是獨立的,并不是在前一筆“supply()”函數中再次調用“supply()”函數。緊接著,在第二次“supply()”函數的調用過程中,攻擊者在他自己的合約中對Lendf.Me的“withdraw()”函數發起調用,最終提現。慢霧安全團隊表示,不難分析出,攻擊者的“withdraw()”調用是發生在transferFrom函數中,也就是在Lendf.Me通過transferFrom調用用戶的“tokensToSend()”鉤子函數的時候調用的。很明顯,攻擊者通過“supply()”函數重入了Lendf.Me合約,造成了重入攻擊。[2020/4/19]

WalletConnect連接后界面切換的處理情況

分析 | 慢霧:韓國交易所 Bithumb XRP 錢包也疑似被黑:Twitter 上有消息稱 XRP 地址(rLaHMvsPnPbiNQSjAgY8Tf8953jxQo4vnu)被盜 20,000,000 枚 XRP(價值 $6,000,000),通過慢霧安全團隊的進一步分析,疑似攻擊者地址(rBKRigtRR2N3dQH9cvWpJ44sTtkHiLcxz1)于 UTC 時間 03/29/2019?13:46 新建并激活,此后開始持續 50 分鐘的“盜幣”行為。此前慢霧安全團隊第一時間披露 Bithumb EOS 錢包(g4ydomrxhege)疑似被黑,損失 3,132,672 枚 EOS,且攻擊者在持續洗幣。更多細節會繼續披露。[2019/3/30]

慢霧安全團隊抽取市面熱門搜索和下載量比較大的20個CryptoWalletApp進行測試:

根據上表測試結果,我們發現:

1.部分熱門錢包App如MetaMask、EnjinWallet、TrustWallet、SafePalWallet及iTokenWallet等,在WalletConnect連接后切換到其他界面時,會自動響應DApp的請求,并彈出簽名窗口。

2.大部分測試的錢包App在切換界面后,對DApp的請求不會做出響應,也不會彈出提示窗口。

3.少數錢包App在測試環境下無法使用WalletConnect與DApp連接,如CoinbaseWallet和MEWCryptoWallet等。錢包的DApp中不是很適配?WalletConnect接口。

4.部分錢包App如ExodusWallet和EdgeWallet在連接測試環境下未找到相關的DApp進行測試,無法判斷其切換界面后的響應情況。

WalletConnect釣魚風險的發現和后續

慢霧安全團隊最初在TrustWallet上發現這個問題,并通過Bugcrowd漏洞提交平臺向他們提交了這個問題,我們獲得了TrustWallet的感謝,他們表示將在下一個版本修復這個安全風險。

特別的是,如果錢包對eth_sign這種低級簽名函數沒有任何風險提醒,eth_sign這是一種非常危險的低級簽名,大大加劇了WalletConnect這個問題釣魚的風險。

不過如果只是禁用了eth_sign也不是完全沒有風險,我們還是呼吁更多的錢包開始禁用它。以用戶數量最多的MetaMask錢包為例,其插件端已經在2023年2月10號發布的V10.25.0版本默認禁用eth_sign,而移動端也在2023年3月1號發布的版本號為6.11開始默認不支持eth_sign,用戶需要到設置里手動打開才能使用它。

不過值得一提的是,MetaMask6.11版本之后添加了對DApp進行URI請求的校驗,但是這個校驗在DApp使用WalletConnect進行交互的時候,同樣會進行彈窗警告,不過這個警告存在被無限制彈窗導致DoS的風險。

總結與建議

對個人用戶來說,風險主要在“域名、簽名”兩個核心點,WalletConnect這種釣魚方式早已被很多惡意網站用于釣魚攻擊,使用時務必保持高度警惕。

對錢包項目方來說,首先是需要進行全面的安全審計,重點提升用戶交互安全部分,加強所見即所簽機制,減少用戶被釣魚風險,如:

釣魚網站提醒:通過生態或者社區的力量匯聚各類釣魚網站,并在用戶與這些釣魚網站交互的時候對風險進行醒目地提醒和告警。

簽名的識別和提醒:識別并提醒eth_sign、personal_sign、signTypedData這類簽名的請求,并重點提醒eth_sign盲簽的風險。

所見即所簽:錢包中可以對合約調用進行詳盡解析機制,避免Approve釣魚,讓用戶知道DApp交易構造時的詳細內容。

預執行機制:通過交易預執行機制可以幫助用戶了解到交易廣播執行后的效果,有助于用戶對交易執行進行預判。

尾號相同的詐騙提醒:在展示地址的時候醒目的提醒用戶檢查完整的目標地址,避免尾號相同的詐騙問題。設置白名單地址機制,用戶可以將常用的地址加入到白名單中,避免類似尾號相同的攻擊。

在交易顯示上,可以增加對小額或者無價值代幣交易的隱藏功能,避免尾號釣魚。

AML合規提醒:在轉賬的時候通過AML機制提醒用戶轉賬的目標地址是否會觸發AML的規則。

請持續關注慢霧安全團隊,更多的釣魚安全風險分析與告警正在路上。

慢霧科技作為一家行業領先的區塊鏈安全公司,在安全審計方面深耕多年,安全審計不僅讓用戶安心,更是降低攻擊發生的手段之一。其次,各家機構由于數據孤島,難以關聯識別出跨機構的洗錢團伙,給反洗錢工作帶來巨大挑戰。而作為項目方,及時拉黑阻斷惡意地址的資金轉移也是重中之重。MistTrack反洗錢追蹤系統積累了2億多個地址標簽,能夠識別全球主流交易平臺的各類錢包地址,包含1千多個地址實體、超10萬個威脅情報數據和超9千萬個風險地址,如有需要可聯系我們接入API。最后希望各方共同努力,一起讓區塊鏈生態更美好。

Tags:LLELETALLWALWalletreumtrustwallet錢包怎么交易Allmedi Coinwal幣未來價值

KuCoin
GIGA:下個牛市的元宇宙賽道展望(中篇):UGC 的突圍_元宇宙

上一篇重點把元宇宙賽道中的VR流派做了個梳理。如果上一篇分析的是元宇宙里的硬框架,這一篇就是元宇宙里的軟實力:與內容生成和場景搭建相關的UGC,PGC和AIGC.

1900/1/1 0:00:00
加密貨幣:金色早報 | 英特爾停產比特幣挖礦芯片系列_Wrapped Secret (ERC20)

頭條 ▌英特爾停產比特幣挖礦芯片系列金色財經報道,芯片制造巨頭英特爾正在結束其比特幣挖礦芯片系列的生產.

1900/1/1 0:00:00
OIN:《財富》雜志發布首個“Crypto 40”榜單 由TradFi、CeFi等8個類別組成_COIN

《財富》雜志近日發布首個“FortuneCrypto40”榜單,以對“最重要的加密公司”進行排名.

1900/1/1 0:00:00
區塊鏈:從金融中心到Web3中心 香港準備好迎接“黃金時代”了嗎?_WEB3

近日,香港web3嘉年華開啟,香港又一次吸引了全球行業的目光。如此聲勢浩大,再加上政府背書與鼎力支持,香港一時成為了風水寶地,勢頭已經壓過新加坡.

1900/1/1 0:00:00
LSD:一文梳理近期的高APY神礦_HOP

在最近的DeFi賽道里,最火熱的質押挖礦協議或許就是Agility了,短短幾天內就達到了5.1億美元TVL,憑借極高的流動性挖礦收益,?5天內$AGI的價格從0.2最高漲至0.99?.

1900/1/1 0:00:00
WEB:2023共識大會要聞速覽(持續更新)_全球加密貨幣市值

點擊閱讀:2023年共識大會嘉賓和議程預覽 關于2023共識大會 Consensus是在奧斯汀舉行的為期三天的會議.

1900/1/1 0:00:00
ads