Nguồn gốc: Keystone Chinese

Từ EVM đến Solana: Cách tránh lừa đảo lừa đảo

Một người dùng đã đăng gần đây , cho biết anh ta đã bị lừa đảo trên Solana như thế nào và mất hàng triệu RMB tài sản. Theo mô tả: bên dưới dòng tweet của dự án Maneki, anh ta đã nhấp nhầm vào liên kết do nhóm lừa đảo gửi trong thư trả lời để vào trang web.

Điều khiến anh bối rối là trong quá trình tương tác, trang web dường như không yêu cầu anh thực hiện bất kỳ hoạt động ủy quyền mã thông báo nào và hacker đã trực tiếp thành công. Khi anh nhận ra có thể có vấn đề với trang web và cố gắng chuyển token trong ví của mình để tránh bị đánh cắp, anh nhận thấy rằng các giao dịch đã thất bại sau nhiều lần thử và không thể chuyển ra ngoài được nữa.

Do thông tin chi tiết được cung cấp còn hạn chế nên chúng tôi không thể dựng lại toàn bộ sự việc. Nhưng điều chắc chắn là người dùng đã mất quyền kiểm soát tài khoản mã thông báo Maneki, đó là lý do tại sao người dùng không thể chuyển tài sản trong ví. Người dùng đã quen với EVM có thể nhầm lẫn, kiểm soát tài khoản này là gì?

Điều này là do Solana áp dụng phương pháp triển khai khác với chuỗi EVM nếu bạn tiếp tục tuân theo thói quen sử dụng. của EVM Hãy đến và tương tác với Solana Nếu bạn muốn giết quan chức hiện tại bằng thanh kiếm của triều đại trước, bạn chắc chắn sẽ gặp phải rủi ro rất lớn.

Nếu muốn chơi vui vẻ trên Solana, bạn phải hiểu biết nhất định về các tính năng và kỹ thuật đánh lừa của Solana. Để đạt được mục đích này, chúng tôi cũng đã biên soạn một số phương pháp tấn công vào Sol khác với EVM, hy vọng có thể giúp những người dùng chưa biết Solana tránh được cạm bẫy.

1. Tiếp quản tổ chim ác là: Chuyển quyền sở hữu tài khoản token

Nhân vật chính trong trường hợp mở đầu của chúng ta đã gặp phải kiểu tấn công này trong ví Solana. Mỗi mã thông báo sẽ có một tài khoản riêng (Tài khoản mã thông báo), tương tự như tài khoản RMB, tài khoản đô la Mỹ, v.v. trong thẻ ngân hàng của chúng tôi, độc lập với nhau và mỗi tài khoản mã thông báo cũng sẽ có tài sản của chủ sở hữu.

Theo mặc định, chủ sở hữu tài khoản mã thông báo sẽ được chỉ định là ví hiện tại, nhưng điều này không được mã hóa cứng. Có thể thay đổi chủ sở hữu tài khoản mã thông báo bằng cách gọi thao tác createSetAuthorityInstruction. , hacker đã lợi dụng thao tác này để xúi giục người dùng chuyển quyền sở hữu một tài khoản token nào đó trong ví sang ví của mình.

Sau khi thành công, ngay cả khi token vẫn còn trong ví, người dùng không thể chuyển token ra ngoài, điều này không khác gì việc token bị đánh cắp.

Do rủi ro cao của hoạt động này, ví Phantom và @Backpack_CN sẽ chặn và nhắc nhở rủi ro của giao dịch và giao dịch cần phải được xác nhận hai lần, trừ khi người dùng nhất quyết buộc phải chấp thuận giao dịch.

2. Không cần ủy quyền trước khi giao dịch trên Solana

Trên EVM, nếu hợp đồng lừa đảo muốn chuyển token vào ví của nạn nhân, người dùng cần nhập token Hợp đồng ủy quyền cho hợp đồng lừa đảo và chỉ hợp đồng lừa đảo được ủy quyền mới có thể bắt đầu giao dịch để chuyển tài sản của người dùng.

Trên Solana, phê duyệt không phải là ủy quyền mà là phê duyệt giao dịch. Nếu người dùng coi đây là liên kết ủy quyền mã thông báo thì sau khi được phê duyệt, giao dịch lừa đảo sẽ được gửi đi, điều này rất khó xảy ra. chỗ cho sự cứu chuộc.

Ngoài ra còn có một tình huống nguy hiểm hơn: giả sử rằng người dùng được khuyến khích ủy quyền mã thông báo trên EVM. Tại thời điểm này, chỉ một mã thông báo duy nhất bị ảnh hưởng và các mã thông báo trái phép khác sẽ không bị đánh cắp. Vì Solana có thể chuyển token mà không cần ủy quyền miễn là người dùng chấp thuận, kết hợp với tính năng thứ ba sẽ được giới thiệu tiếp theo nên có thể gây thiệt hại lớn cho người dùng.

3. Hãy cẩn thận để tránh bị xúi giục chuyển nhiều token

Thiết kế giao dịch của Solana cho phép thêm nhiều giao dịch phụ vào một giao dịch và mỗi giao dịch phụ sẽ giao dịch có thể Hoàn thành một tương tác, chẳng hạn như chuyển một mã thông báo nhất định. So với chuyển mã thông báo trên EVM, mỗi mã thông báo yêu cầu một giao dịch riêng để hoàn thành. Tính năng này của Solana mang lại sự thuận tiện nhất định.

Ví dụ: có thể có một số token có giá trị rất thấp dưới 1u trong ví của bạn. Sol-incinerator tận dụng tính năng này để cho phép người dùng gửi các token nhỏ vào ví. và đổi lại thành SOL mà không cần tiêu tốn nhiều Gas qua nhiều lần trao đổi và tiết kiệm thời gian vận hành.

Tính năng này cũng mang lại sự thuận tiện lớn cho tin tặc. Chỉ cần người dùng lừa dối người dùng thành công để xác nhận giao dịch, mã thông báo trong ví của người dùng có thể. được chuyển đi. Tiền xu, NFT và thậm chí cả SOL đều bị cướp. Do đó, nếu bạn thấy một giao dịch có số lượng chuyển khoản TOKEN lớn, hãy cẩn thận xem tin tặc có lợi dụng tính năng này để làm trống ví của bạn hay không.

4. Chữ ký giao dịch gian lận

Trong EVM, chữ ký cấp phép rất phổ biến trong các nhóm lừa đảo do chúng được che giấu và không xuất hiện trong ví của người ủy quyền. , hiện tại hơn một nửa số phương thức tấn công lừa đảo đều dựa trên nó. Trong thế giới của Solana cũng có một phương pháp tương tự: Bền Nonce.

Các đặc điểm của Durable Nonce tương tự như giấy phép. Nếu người dùng ký một giao dịch mà không biết, anh ta sẽ không mất tài sản ngay lập tức và sẽ không nhìn thấy giao dịch trong ví của mình. gửi thông tin giao dịch đã ký cho nhóm lừa đảo, sau đó chúng sẽ gửi giao dịch đến blockchain. Đặc điểm của giao dịch ngoại tuyến này hoàn toàn giống với giao dịch được cấp phép và nó cũng nguy hiểm không kém.

Vì Solana có thể mô phỏng kết quả giao dịch nên khả năng đọc của Durable Nonce tốt hơn mức cho phép và người dùng dễ nhận biết hơn. Vì vậy, để đánh cắp tài sản của người dùng một cách suôn sẻ hơn, các nhóm lừa đảo đã kết hợp Bền Nonce với các bản nâng cấp hợp đồng, cố gắng tránh những cảnh báo do mô phỏng giao dịch mang đến cho người dùng.

Trang web lừa đảo trước tiên sử dụng hợp đồng thông thường không chứa các giao dịch độc hại để tương tác với người dùng. Tại thời điểm này, không có vấn đề gì với thông tin được trình bày bởi chức năng mô phỏng giao dịch của ví.

Sau khi người dùng chấp thuận, nhóm lừa đảo lấy được chữ ký của người dùng không muốn phát tán giao dịch trên chuỗi mà đợi một khoảng thời gian trước khi nâng cấp hợp đồng lên phiên bản chứa mã độc Cuối cùng, khi giao dịch được phát lên chuỗi, người dùng sẽ bất ngờ phát hiện ra rằng tài sản bị mất mà không có bất kỳ thao tác nào, vì chữ ký có thể đã được thực hiện vài ngày trước.

Phương thức tấn công nâng cấp này cực kỳ ẩn giấu và cực kỳ có hại. Chức năng mô phỏng giao dịch hiện tại không thể hiển thị rủi ro trong thời điểm hiện tại. Vì vậy, chúng ta vẫn cần nâng cao ý thức phòng ngừa, không nên quá phụ thuộc vào lời nhắc của phần mềm ví và tin tưởng một cách mù quáng vào kết quả mô phỏng giao dịch.

Kết luận

Như bạn có thể thấy, các tính năng chức năng nêu trên ban đầu được thiết kế để hạ thấp ngưỡng sử dụng của người dùng. Cung cấp nhiều tiện ích hơn. Tôi chưa bao giờ nghĩ rằng các công nghệ mới, như con dao hai lưỡi, cũng sẽ cung cấp cho các nhóm lừa đảo những phương thức tấn công đa dạng hơn.

Trước khi viết bài này, Solana đã phát hành hai chức năng mới là Action và Blink Trong khi mọi người đang mơ mộng về hai chức năng này thì một số người cũng đề xuất cảnh báo các băng nhóm có thể khai thác các tính năng mới. để lừa gạt.

Câu cá trên Solana có đặc điểm là thao tác bằng một cú nhấp chuột và có tính ẩn danh cao. Chức năng mô phỏng giao dịch đôi khi không hoạt động do rpc không ổn định và các lý do khác nên không thể hoàn toàn dựa vào chức năng này. .

Người dùng đủ điều kiện nên tương tác với ví phần cứng Keystone, điều này tương đương với việc thêm xác nhận bổ sung để tránh việc xác nhận giao dịch nhanh chóng do tính bốc đồng hoặc chậm trễ.

Ngoài ra, Keystone cũng phân tích giao dịch ở phía phần cứng. Khi mô phỏng giao dịch ví phần mềm không thành công, phía phần cứng vẫn có thể phân tích nội dung giao dịch, cung cấp tuyến phòng thủ cuối cùng.

Công nghệ chuỗi khối đang phát triển thông qua sự phát triển và thay đổi không ngừng. Chúng tôi lo lắng về những rủi ro do công nghệ mới mang lại, nhưng chúng tôi không thể dừng lại vì điều này. trên đường phố, mọi người đều la hét về nó và những người thực hiện bao gồm ví phần cứng và các công ty bảo mật liên tục lặp lại các giải pháp cho các mối đe dọa mới.

Là một người dùng bình thường, hãy luôn nhắc nhở bản thân đừng để bị lóa mắt bởi “chiếc bánh miễn phí” mà phải kiểm tra kỹ nội dung giao dịch với ý thức bảo mật như vậy, lừa đảo sẽ khó thành công.

Liên kết gốc

Chào mừng bạn tham gia cộng đồng chính thức của BlockBeats:

Nhóm Telegram đăng ký: https://t.me/theblockbeats

Nhóm Telegram thảo luận: https://t.me/BlockBeats_App

Tài khoản Twitter chính thức: https://twitter.com/BlockBeatsAsia