Nuevos riesgos de seguridad de la billetera móvil Web3.0: ataques de phishing modal
Recientemente, una nueva técnica de phishing ha llamado la atención en el ámbito de Web3.0. Este método de ataque se centra en la autenticación de identidad de las aplicaciones descentralizadas (DApp), lo que puede llevar a los usuarios a tomar decisiones equivocadas.
Los investigadores de seguridad han denominado a esta nueva técnica de phishing "ataques de phishing modal" (Modal Phishing).
En este tipo de ataque, los hackers pueden enviar información falsificada a la billetera móvil, haciéndose pasar por una DApp legítima. Al mostrar contenido engañoso en la ventana modal de la billetera, inducen a los usuarios a aprobar transacciones problemáticas. Actualmente, esta técnica de phishing ha comenzado a aparecer de manera generalizada. El equipo de desarrollo relacionado ha confirmado que lanzará una nueva API de verificación para reducir riesgos.
Principio del ataque de phishing modal
En un estudio sobre la seguridad de las billeteras móviles, los expertos descubrieron que ciertos elementos de la interfaz de usuario de las billeteras Web3 podrían ser explotados por atacantes para realizar phishing. Se les llama "phishing modal" porque los ataques se dirigen principalmente a la ventana modal de la billetera de criptomonedas.
La ventana modal es un elemento de interfaz de usuario común en aplicaciones móviles, que generalmente se muestra en la capa superior de la interfaz principal. Este diseño facilita a los usuarios realizar acciones rápidas, como aprobar o rechazar solicitudes de transacción de la billetera Web3. Una ventana modal típica de la billetera Web3 proporcionará detalles de la transacción para que los usuarios los verifiquen, junto con botones de aprobación o rechazo.
Sin embargo, estos elementos de interfaz de usuario pueden ser manipulados por hackers para llevar a cabo ataques de phishing modal. Los atacantes pueden alterar los detalles de la transacción, disfrazando la solicitud como una "actualización de seguridad" que parece provenir de una fuente confiable, induciendo así a los usuarios a aprobar.
Casos de ataque típicos
1. Phishing de DApp utilizando el protocolo Wallet Connect
Wallet Connect es un protocolo de código abierto ampliamente utilizado para conectar las billeteras de los usuarios con DApps a través de códigos QR o enlaces profundos. Durante el proceso de emparejamiento, la billetera Web3 mostrará una ventana modal que presenta el nombre, la URL, el ícono y otra información de la DApp.
El problema es que la billetera no verifica la veracidad de esta información. Un atacante puede proporcionar información falsa, suplantando a DApp conocido. Por ejemplo, una aplicación maliciosa puede hacerse pasar por Uniswap, engañando a los usuarios para que se conecten y aprueben transacciones.
Las pruebas reales han demostrado que los atacantes pueden manipular el nombre, la URL y el ícono de la DApp que se muestra en la ventana modal. Dado que se utiliza el protocolo https, incluso aparece un ícono de candado, aumentando la credibilidad. Una vez que el usuario opera en el sitio web falso, el atacante puede reemplazar los parámetros de la transacción y robar fondos.
2. Phishing de información de contratos inteligentes a través de MetaMask
Las billeteras como MetaMask mostrarán el nombre del método del contrato inteligente en la interfaz de aprobación de transacciones, como "Confirmar" o "Método Desconocido". Esta función está diseñada para ayudar a los usuarios a identificar el tipo de transacción, pero también podría ser aprovechada por atacantes.
Los atacantes pueden crear un contrato inteligente de phishing, registrando nombres de métodos como "SecurityUpdate" y otras cadenas engañosas. Cuando los usuarios ven los detalles de la transacción, verán una solicitud de "actualización de seguridad" que parece provenir de MetaMask, aumentando la posibilidad de que el usuario apruebe.
Sugerencias de prevención
Los desarrolladores de Billetera siempre deben suponer que los datos externos no son confiables, seleccionar cuidadosamente la información que se muestra a los usuarios y verificar su legitimidad.
Considerar filtrar palabras sensibles que podrían ser utilizadas para phishing en la UI.
El usuario debe estar alerta ante cada solicitud de transacción desconocida y verificar cuidadosamente los detalles de la transacción.
Se puede considerar agregar un mecanismo de verificación de información DApp en protocolos como Wallet Connect.
La aplicación de billetera debe mejorar la lógica de visualización de los nombres de los métodos de los contratos inteligentes, evitando mostrar directamente información que pueda ser mal utilizada.
Con el desarrollo de la tecnología Web3.0, surgen continuamente nuevas amenazas de seguridad. Tanto los usuarios como los desarrolladores deben mantenerse alerta y trabajar juntos para mantener la seguridad del ecosistema.
Esta página puede contener contenido de terceros, que se proporciona únicamente con fines informativos (sin garantías ni declaraciones) y no debe considerarse como un respaldo por parte de Gate a las opiniones expresadas ni como asesoramiento financiero o profesional. Consulte el Descargo de responsabilidad para obtener más detalles.
11 me gusta
Recompensa
11
8
Republicar
Compartir
Comentar
0/400
liquidation_watcher
· 08-17 03:39
La pared de aire ha sido rota de nuevo, lo que me obliga a revisar el contrato varias veces ahora.
Ver originalesResponder0
HallucinationGrower
· 08-16 21:21
¿Los hackers han hecho algo nuevo de nuevo?
Ver originalesResponder0
GateUser-2fce706c
· 08-15 11:11
Hace tiempo que advertí que al acumular monedas hay que estar más atento.
Ataques de phishing modal: una nueva amenaza de seguridad para las billeteras móviles Web3
Nuevos riesgos de seguridad de la billetera móvil Web3.0: ataques de phishing modal
Recientemente, una nueva técnica de phishing ha llamado la atención en el ámbito de Web3.0. Este método de ataque se centra en la autenticación de identidad de las aplicaciones descentralizadas (DApp), lo que puede llevar a los usuarios a tomar decisiones equivocadas.
Los investigadores de seguridad han denominado a esta nueva técnica de phishing "ataques de phishing modal" (Modal Phishing).
En este tipo de ataque, los hackers pueden enviar información falsificada a la billetera móvil, haciéndose pasar por una DApp legítima. Al mostrar contenido engañoso en la ventana modal de la billetera, inducen a los usuarios a aprobar transacciones problemáticas. Actualmente, esta técnica de phishing ha comenzado a aparecer de manera generalizada. El equipo de desarrollo relacionado ha confirmado que lanzará una nueva API de verificación para reducir riesgos.
Principio del ataque de phishing modal
En un estudio sobre la seguridad de las billeteras móviles, los expertos descubrieron que ciertos elementos de la interfaz de usuario de las billeteras Web3 podrían ser explotados por atacantes para realizar phishing. Se les llama "phishing modal" porque los ataques se dirigen principalmente a la ventana modal de la billetera de criptomonedas.
La ventana modal es un elemento de interfaz de usuario común en aplicaciones móviles, que generalmente se muestra en la capa superior de la interfaz principal. Este diseño facilita a los usuarios realizar acciones rápidas, como aprobar o rechazar solicitudes de transacción de la billetera Web3. Una ventana modal típica de la billetera Web3 proporcionará detalles de la transacción para que los usuarios los verifiquen, junto con botones de aprobación o rechazo.
Sin embargo, estos elementos de interfaz de usuario pueden ser manipulados por hackers para llevar a cabo ataques de phishing modal. Los atacantes pueden alterar los detalles de la transacción, disfrazando la solicitud como una "actualización de seguridad" que parece provenir de una fuente confiable, induciendo así a los usuarios a aprobar.
Casos de ataque típicos
1. Phishing de DApp utilizando el protocolo Wallet Connect
Wallet Connect es un protocolo de código abierto ampliamente utilizado para conectar las billeteras de los usuarios con DApps a través de códigos QR o enlaces profundos. Durante el proceso de emparejamiento, la billetera Web3 mostrará una ventana modal que presenta el nombre, la URL, el ícono y otra información de la DApp.
El problema es que la billetera no verifica la veracidad de esta información. Un atacante puede proporcionar información falsa, suplantando a DApp conocido. Por ejemplo, una aplicación maliciosa puede hacerse pasar por Uniswap, engañando a los usuarios para que se conecten y aprueben transacciones.
Las pruebas reales han demostrado que los atacantes pueden manipular el nombre, la URL y el ícono de la DApp que se muestra en la ventana modal. Dado que se utiliza el protocolo https, incluso aparece un ícono de candado, aumentando la credibilidad. Una vez que el usuario opera en el sitio web falso, el atacante puede reemplazar los parámetros de la transacción y robar fondos.
2. Phishing de información de contratos inteligentes a través de MetaMask
Las billeteras como MetaMask mostrarán el nombre del método del contrato inteligente en la interfaz de aprobación de transacciones, como "Confirmar" o "Método Desconocido". Esta función está diseñada para ayudar a los usuarios a identificar el tipo de transacción, pero también podría ser aprovechada por atacantes.
Los atacantes pueden crear un contrato inteligente de phishing, registrando nombres de métodos como "SecurityUpdate" y otras cadenas engañosas. Cuando los usuarios ven los detalles de la transacción, verán una solicitud de "actualización de seguridad" que parece provenir de MetaMask, aumentando la posibilidad de que el usuario apruebe.
Sugerencias de prevención
Los desarrolladores de Billetera siempre deben suponer que los datos externos no son confiables, seleccionar cuidadosamente la información que se muestra a los usuarios y verificar su legitimidad.
Considerar filtrar palabras sensibles que podrían ser utilizadas para phishing en la UI.
El usuario debe estar alerta ante cada solicitud de transacción desconocida y verificar cuidadosamente los detalles de la transacción.
Se puede considerar agregar un mecanismo de verificación de información DApp en protocolos como Wallet Connect.
La aplicación de billetera debe mejorar la lógica de visualización de los nombres de los métodos de los contratos inteligentes, evitando mostrar directamente información que pueda ser mal utilizada.
Con el desarrollo de la tecnología Web3.0, surgen continuamente nuevas amenazas de seguridad. Tanto los usuarios como los desarrolladores deben mantenerse alerta y trabajar juntos para mantener la seguridad del ecosistema.