Tiêu đề gốc: "Vitalik đã đăng thông tin lừa đảo sau khi tài khoản của anh ấy bị "hack". Ngoài các cuộc tấn công lừa đảo, người dùng nên cảnh giác với những cách lừa đảo tiền nào khác? 》

Nguồn gốc: Beosin

Vào ngày 10 tháng 9, tài khoản nền tảng X của người đồng sáng lập Ethereum Vitalik Buterin (trước đây là Twitter) đã bị Hacker tấn công và đã đăng một liên kết lừa đảo, đây là một liên kết miễn phí để nhận NFT kỷ niệm về Danksharding. Mặc dù dòng tweet gần như đã bị xóa nhưng tin tặc vẫn kiếm được khoảng 700.000 USD.

Vào tháng 7 trước đó, Tài khoản nền tảng X (trước đây là Twitter) của người sáng lập Uniswap Hayden Adams cũng bị hack và ông đã đăng các dòng tweet chứa liên kết lừa đảo. Điều này cho thấy một số lượng lớn các sự cố bảo mật như tấn công lừa đảo vẫn thường xuyên xảy ra trong hệ sinh thái blockchain gần đây.

Trước đây, Beosin đã đưa ra lời giải thích chi tiết về các cuộc tấn công lừa đảo. Bạn có thể đọc chi tiết tại: UNIBOT phát nổ, Làm thế nào để ngăn chặn lừa đảo và lừa đảo liên quan đến bot Telegram? Chữ ký bị đánh cắp? Hãy cẩn thận nếu bạn đã sử dụng Uniswap! Tiết lộ bí mật của hành vi lừa đảo chữ ký Permit2

Ngoài các cuộc tấn công lừa đảo, người dùng nên cảnh giác với những phương thức lừa đảo tiền nào khác? Gần đây, nhóm Beosin phát hiện ra rằng những kẻ lừa đảo và sự cố thao túng giá cũng gây ra tổn thất lớn cho quỹ của người dùng.

Khi công nghệ chuỗi khối ngày càng hoàn thiện, ngày càng có ít vấn đề hơn ở cấp độ mã, khiến nó dễ xảy ra các vấn đề lừa đảo và logic kinh doanh hơn. Trong bài viết này, chúng tôi xem xét các vấn đề bảo mật quỹ phổ biến gần đây để giúp người dùng về cơ bản tránh bị lừa gạt một số quỹ.

Trong những vụ việc gần đây như kẻ lừa đảo, các nhà khai thác chủ yếu lừa đảo tiền thông qua các cửa hậu hợp đồng, đĩa Pixiu, v.v. Trên thực tế, người dùng có thể sử dụng phương pháp này để lừa đảo tiền. Điều chính cần tránh là hiểu cách thức hoạt động của hợp đồng và các nguyên tắc của quy tắc. Chúng tôi sẽ sử dụng các dự án gần đây để minh họa và tóm tắt các đặc điểm của loại lừa đảo này.

1. Phòng ngừa cửa sau của dự án

1. Cân bằng sửa đổi địa chỉ đặc quyền

Nói chung, các dự án liên quan đến lừa đảo sẽ có một địa chỉ đặc quyền, có thể đúc, đốt hoặc thiết lập số dư của người khác theo ý muốn. Loại dự án này có nguy cơ bị bỏ trốn khi người dùng sử dụng một số tiền lớn để mua mã thông báo dự án, bên dự án sẽ trực tiếp mua lại tất cả các đồng tiền có giá trị thông qua chức năng đặc quyền, khiến giá trị của mã thông báo dự án trở về 0. .

Lấy mã dự án CUZK làm ví dụ:

Có một cửa sau và đặc quyền trong hợp đồng mã thông báo CUZK Các địa chỉ có thể trực tiếp đặt mã thông báo vượt quá tổng nguồn cung cho tài khoản của chính họ, như sau:

Hàm ccvipaaaqqq() sẽ thêm một lượng lớn mã thông báo CUZK cho người gọi và cuối cùng xác định xem người gọi có phải là ciyuAdmintmrr hay không. Địa chỉ này là địa chỉ được đặt. bởi người tạo khi hợp đồng được khởi tạo ( 0xf719).

Bên dự án đã thêm một lượng lớn mã thông báo vào chính mình (0xf719) bằng cách gọi hàm ccvipaaaqqq().

Sau đó, địa chỉ đặc quyền được sử dụng Các mã thông báo đã đặt sẽ trao đổi tất cả WBNB trong cặp, khiến giá tiền CUZK trở về 0.

2. Ẩn backdoor, gián tiếp thêm số dư

Cũng có một số dự án không có chức năng thao túng trực tiếp số dư token địa chỉ mà là địa chỉ đặc quyền. có thể thu được một cách gián tiếp Một số lượng lớn token sẽ được đổi lấy tất cả các đồng tiền có giá trị, khiến giá token trở về 0.

Lấy dự án Flashmall trên chuỗi BNB làm ví dụ:

Hợp đồng FlashMall có hàm setPointRate Được sử dụng để đặt tỷ giá hối đoái. Hàm này chỉ có thể được gọi bằng các địa chỉ đặc quyền.

Sự cố trốn thoát này Nó là chủ yếu được chia thành các bước sau:

Thiết lập tỷ giá hối đoái->Trao đổi->Thiết lập tỷ giá hối đoái->Trao đổi

Sau đây là các bước chi tiết:

1. Đặt tỷ lệ địa chỉ đặc quyền thành 10.000.

Địa chỉ 2.0x613C có thể đổi MUSD lấy 10 lần MCoin.

3. Tỷ lệ cài đặt địa chỉ đặc quyền là 1000.

Địa chỉ 4.0x613C có thể là MCoin được đổi lấy cùng số lượng MUSD.

5. Sau nhiều lần chuyển đổi, 0x613C có số lượng MUSD lớn và cuối cùng là Đổi tất cả USDT.

Sau đây là mã đổi MCoin và MUSD, số lượng được xác định theo pointRate.

Tóm tắt: Liệu hợp đồng có cửa sau chủ yếu hay không phụ thuộc vào Có chức năng đặc quyền nào có thể kiểm soát mã thông báo của bất kỳ địa chỉ nào không hoặc có chức năng logic nào để phát hành thêm mã thông báo từ một địa chỉ đặc quyền hay không. Ngoài ra, nếu bên tham gia dự án sở hữu hầu hết các chứng chỉ thanh khoản thì cũng có thể xảy ra hiện tượng bỏ chạy. Người dùng có thể đánh giá mức độ rủi ro bằng cách kiểm tra xem hợp đồng có từ bỏ địa chỉ đặc quyền hay địa chỉ đặc quyền có phải là địa chỉ hợp đồng kinh doanh thông thường hay không, đồng thời kiểm tra xem chứng chỉ thanh khoản thuộc sở hữu của tài khoản EOA hay địa chỉ thông thường. Hợp đồng kinh doanh.

2. Lừa đảo dự án Pixiu Pan

Đặc điểm của loại dự án này được thể hiện chủ yếu ở khả năng mua Token của dự án, nhưng khi người dùng muốn bán, giao dịch sẽ báo lỗi. Biểu hiện chính của loại mã hợp đồng lừa đảo này là khi thực hiện chuyển mã thông báo đầu tiên, một số trạng thái hợp đồng sẽ được đặt. và sau đó không thể thực hiện chuyển khoản nữa, dẫn đến việc Người dùng mua mã thông báo, đặt trạng thái hợp đồng và không thể bán nó sau đó.

Lấy dự án token EDU giả làm ví dụ:

Địa chỉ hợp đồng của dự án này là dự án EDU cùng tên. Chủ sở hữu mã thông báo (0xac15) mua và bán mã thông báo trong địa chỉ cặp EDU 0xE3f2 và gửi mã thông báo được giữ đến ví Binance và trao đổi, tạo ảo giác rằng có nhiều người đang tham gia (như trong hình bên dưới).

Đoạn mã sau đây nằm trong tiến trình Sau lần chuyển đầu tiên (mua xu), tokenGreylist[to] (đến là địa chỉ người dùng) sẽ được đặt thành true Tuy nhiên, do trạng thái địa chỉ danh sách trắng trong mã không được tiết lộ nên chức năng chuyển không thể được gọi lần thứ hai. Trạng thái chuyển đổi khác với địa chỉ danh sách trắng Được kiểm soát bởi chủ sở hữu, người dùng tham gia dự án không thể bán mã thông báo theo mặc định.

Tóm tắt: Dự án Tấm Tỳ hưu Đặc điểm là bạn có thể mua nhưng không thể bán. Bằng cách kiểm tra logic thực tế của việc chuyển và chuyển từ, bạn có thể xem liệu có bất kỳ hạn chế lẫn nhau nào hay không. Những người có trình độ kỹ thuật có thể mô phỏng và thực hiện các chức năng liên quan tại địa phương.

Liên kết gốc

Chào mừng bạn tham gia cộng đồng chính thức của BlockBeats:

Nhóm Telegram đăng ký: https://t.me/theblockbeats

Nhóm Telegram thảo luận: https://t.me/BlockBeats_App

Tài khoản Twitter chính thức: https://twitter.com/BlockBeatsAsia